Skupni CA, ločena vrata: ena storitev na datoteko odobritve

Potrdilo, ki se preverja pri skupnem organu, je prestalo preizkus zaupanja, ne preizkus članstva. Ti dve odločitvi se pogosto zlijeta, ker se obe zgodita ob povezavi, in zlitje ostane nevidno, dokler v storitev ni spuščen nekdo, ki tam ne bi smel biti. Rešitev ni drugi organ; to je druga odločitev, sprejeta za vsako storitev in zapisana tam, kjer jo demon bere. Držite obe ločeno in večina zmede na tem področju izgine.

Zaupanja vredna veriga ne pove ničesar o članstvu v storitvi

Dve storitvi lahko sprejmeta isto izdajateljsko hierarhijo in imata vseeno različni populaciji. En prenosnik spada k prvi in ne sme doseči druge, medtem ko druge stranke iste hierarhije tja res spadajo. Odstranitev organa iz te storitve bi zaklenila vse, ki jo zakonito uporabljajo, zato je delo odobritev, ne zaupanje.

Pomaga si predstavljati dve ključavnici na enih vratih. Potrdilo odpre zunanjo ključavnico, odločitev za storitev pa notranjo; nobena ne nadomesti druge. Storitev samo z zunanjo ključavnico članstva sploh ne uveljavlja, samo preverja identiteto. Zapišite obe odločitvi, preden karkoli spremenite, ker politike, ki obstaja le v obliki delujoče povezave, ni mogoče revidirati. Kar sledi, se nanaša na notranjo ključavnico.

Spremenite neobvezne prepise v vstopna vrata

Mapa s konfiguracijo odjemalca je običajno udobje: datoteke v njej prepišejo nastavitve odjemalcev, ki jih imenujejo, odjemalec brez datoteke pa preprosto teče s privzetimi vrednostmi strežnika. Ena direktiva to udobje spremeni v vrata, tako da manjkajoča datoteka pomeni zavrnjeno povezavo.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Skupnostna izdaja OpenVPN 2.6 ccd-exclusive dokumentira na svoji strani priročnika natanko ta pogoj, iskanje imenovane datoteke pa je odvisno od dejanske identitete odjemalca. Druge gradnje in strežniki, ki jih upravljajo izdelki, se lahko razlikujejo, zato pred zanašanjem na isto semantiko drugje potrdite nameščeno različico.

Obravnavajte zgornjo pot kot primer in preverite dejansko nameščeno postavitev, namesto da bi ustvarili mapo, ki si jo je izmislil vodnik. Pustite obstoječa preverjanja potrdil, preverjanja identitete strežnika in preverjanje pristnosti računa natanko taka, kot so bila, ker fragment doda pogoj in ničesar ne odstrani. Pripravite spremembo pred produkcijo, saj je zavrnitev, dvignjena na napačnem mestu, videti kot okvara potrdila in usmeri preiskavo k organu. Nato potrdite, da vrstica dnevnika za zavrnjenega odjemalca navaja manjkajočo konfiguracijsko datoteko in ne verige.

Ena mapa na storitev, ne en skupni seznam

Članstvo pripada storitvi, ki ga uveljavlja, zato vsaka storitev hrani svojo mapo in svoje datoteke. Usmerjanje dveh storitev na en seznam povzroči, da si delita članstvo ne glede na to, ali je kdo to nameraval, in nastalo spremembo je težko izslediti do odločitve. Skupni organ lahko ostane skupen; datoteke odobritve ne morejo. Njihova ločitev pomeni tudi, da napaka v eni storitvi ne more tiho razširiti druge.

Vnos DEFAULT je primer, ki ljudi zavaja. Zagotovi nadomestne nastavitve, ko imenovana datoteka ni najdena, vendar to ni imenovana datoteka, ki jo vrata zahtevajo, zato sama ne more spustiti odjemalca. Preizkusite odjemalca, ki sploh nima vnosa, in potrdite zavrnitev; če je ta odjemalec spuščen, se uporablja nadomestna vrednost in ccd-exclusive v tem primeru ne velja.

Dejanska identiteta odloča, katera datoteka se bere

Iskanje uporablja identiteto, s katero se je odjemalec dejansko overil, kar je običajno skupno ime potrdila. Kjer strežnik preverja tudi uporabniško ime in geslo ter to ime preslika v skupno ime, mora datoteka ustrezati overjenemu uporabniškemu imenu. Neujemanje pusti mapo polno verjetnih imen datotek, ki niso nikoli izbrana.

Branje je druga polovica. Demon običajno po zagonu opusti privilegije, zato zmanjšani račun potrebuje bralni dostop do mape in vsakega vnosa v njej. Odjemalci ne smejo moči ustvariti svojega vnosa po nobeni poti, ki je zapisljiva, ker samopostrežna odobritev popolnoma izniči mehanizem. Preverite dovoljenja za priklop in souporabo, ne le načina datoteke, saj je mapa, ki je videti zaprta za en račun, lahko odprta za drugega. Nato potrdite, kateri račun dejansko uporablja tekoči proces, in ne kateri račun omenja datoteka unit. Oba sta enaka le, ko ju nič drugo ni spremenilo.

Opazujte zavrnitev, odobritev in preklic ločeno

Preizkusite identiteto, ki pripada storitvi, in potrdite, da se poveže. Preizkusite veljavno potrdilo brez vnosa in potrdite, da je zavrnjeno. Preizkusite identiteto, odobreno v drugi storitvi, in potrdite, da tu ni odobrena. Zabeležite primerek storitve in dejansko identiteto ob vsakem rezultatu, ker rezultata brez tega konteksta nihče drug ne more ponoviti.

Umik je ločena operacija od preklica. Urejanje datoteke odobritve odstrani pravico do ene storitve, medtem ko identiteta ostane veljavna povsod drugje, medtem ko kompromitirani ključ zahteva odziv organizacije na preklic. Vnaprej odločite, kaj se zgodi z že vzpostavljenimi sejami, ker niti urejanje mape niti seznam preklica tega ne končata samih od sebe.

Odobritev je tudi le prva vrata. Pridružitev storitvi ne pove ničesar o podomrežjih, podatkovnih zbirkah ali upravljalnih vmesnikih za njo, in to politiko virov je treba napisati in preizkusiti posebej.