Sababta u rarista shahaadada VPN ay u jabisay calaamadeeda SELinux

Shahaadooyinku waxay ku jiri karaan gal-dhiga saxda ah iyagoo leh qaab la akhrin karo iyo lahaanshaha root, oo adeeggu wali wuxuu soo sheegi karaa in uusan furi karin faylka. Nidaamka SELinux isku-dhafkaas wuxuu tilmaamayaa hal hab gaar ah, ma aha ogolaanshaha. Calaamaddu waxay la socotay faylka, sababtoo ah dib u magacaabiddu ma abuurto shay cusub. inode-ku wuxuu haystay macnaha amniga uu ku lahaa jidka hore, mana helin siyaasadda jidka cusub fursad ay ku qoondeyso tii u gaar ahayd.

Waxa dib u magacaabiddu dhab ahaan ku samayso calaamad

Faylku wuxuu qaataa macnaha SELinux sida xog sifo oo ku dheggan inode-ka. Dib u magacaabid gudaha hal nidaam fayl ah waxay beddeshaa gelitaanka gal-dhiga oo wax kale ma beddelo, taas oo degdeg ah oo atomi ah, waana sababta macnuhu uga badbaado rarista. Siyaasadna lama weydiiyo, wax caadi ahna lama dabaqo, digniinna lama daabaco.

Koobintu si kale ayay u dhaqantaa. Koobintu waxay abuurtaa inode cusub gal-dhiga loo socdo, siyaasadna waxay macne ka qoondaysaa nooca gal-dhigaas, sidaas darteed shahaadada la koobiyeeyay waxay badanaa ku dhammaataa calaamad sax ah halka tan la rartay ay si khaldan u sii ahaanayso. Farqigaas keliya ayaa sharraxaya inta badan jahwareerka noocan tikitka ah.

Rarista ka dhaxaysa nidaamyada faylku waxay ku noqotaa macnaha koobinta, sidaas darteed isla amarku wuxuu si kala duwan ugu dhaqmi karaa laba mishiin iyadoo ku xiran in /etc uu ku nool yahay muggiisa gaar ah. Hubi taas ka hor inta aadan go'aansan in qalabku aan la aamini karin. Hal eegid oo miiska mount ah waxay kuu sheegaysaa nooca rarista aad samaysay.

Akhri calaamadda hadda jirta iyo tan la filayo

Saddex amar oo akhris-kaliya ayaa ka jawaabaya su'aasha iyagoo aan wax beddelin. Kii ugu horreeyaa wuxuu muujinayaa waxa faylku hadda leeyahay, kii labaad wuxuu soo sheegaa waxa siyaasaddu filayso jidkaas saxda ah, kii saddexaadna wuxuu taxaa fayl kasta oo hoos yimaada gal-dhiga calaamaddiisu ka duwan tahay.

ls -lZ /etc/openvpn/client/office-ca.crt
matchpathcon /etc/openvpn/client/office-ca.crt
restorecon -Rn -v /etc/openvpn/client

Waxa la aamini karo waa orodka qalalan, sababtoo ah wuxuu magacaabaa fayl kasta oo macnahiisu ka leexdo siyaasadda oo wali nidaamka taaban. Haddii shahaadadu ku muuqato liiskaas, waxaad heshay iswaafajin la'aanta u dhexeysa waxa jidku ka dhigan yahay iyo waxa faylku sheeganayo. Haddii aysan ku muuqan, calaamaddu horey ayay u tahay waxa siyaasaddu rabto, waqtigaaguna meel kale buu leeyahay.

Kadib isku xir farqiga iyo diidmo dhab ah. Isku-helitaan la'aantu waa caddayn calaamad khaldan, ma aha caddayn in adeeggu sidaas darteed guuldarraysaday, sixid la dabaqay iyada oo aan diidmo u dhiganta ku jirin diiwaanka waa mala-awaal tallaabooyin dheeraad ah leh.

Soo celi khariidadda halkii aad ka abuuri lahayd ka-reeb

Goob caadi ah siyaasaddu horey ayay u khariidadaysaa jidka, sidaas darteed restorecon wuu dabaqaa oo shaqadu dhammaatay. Xadka ku hay gal-dhiga aad hagaajinayso; calaamadaynta dib u eegista nidaamka fayl oo dhan waa gaabis, carqaladayn, waxayna aasaa khaladka asalka ah beddel aad u weyn hoostiisa.

Gal-dhig gaar ah amarku waa muhiim, oo rogiddiisu waxay soo saartaa amar sheegaya guul isagoo aan wax beddelin. Khariidadda waxay ku jirtaa siyaasadda, calaamadaynta dib u eegistu waxay ku jirtaa dhammaadka, orodka qalalanuna waxa uu ku jiraa labadaba ka hor. Qaybtaas u dambaysa in la boodo waa habka jid aan waligiis khaldamin si kastaba loo calaamadeeyo.

semanage fcontext -a -t openvpn_etc_t '/etc/openvpn/custom(/.*)?'
restorecon -Rv /etc/openvpn/custom

restorecon wuxuu dabaqaa khariidad; ma abuuri karo mid. Haddii aanu jirin xeer qeexaya jidka, waxba lama soo celin karo, taas darteed khariidadda joogtada ah waa inay jirtaa calaamadaynta dib u eegista ka hor. Qor qaabaynta ay leedahay khariidaddaas, sababtoo ah haddii kale raris dambe, cusboonaysiin xirmo ama calaamadayn dib u eegis ayaa mar kale abuura cilladda qofka xigana wuxuu ka bilaabmaa eber.

Sababta chcon aanu xal u ahayn

chcon wuxuu macne toos ugu qoraa faylka. Wuxuu isla markiiba dhaqan galayaa waana ikhtiyaarka ugu adkaysiga yar ee la heli karo, sababtoo ah calaamadaynta dib u eegista nidaamka faylku waxay mar kale dabaqdaa siyaasadda oo tuurtaa isbeddellada gacanta iyada oo aan weydiin. Faylku wuxuu u muuqdaa mid la hagaajiyay oo hagaajintuna waxay leedahay taariikh dhicitaan oo aan cidna qorin. Waxa aad beddelkeeda rabto waa xeer qeexaya jidka, si fayl kasta oo halkaas yimaada uu si otomaatig ah u helo isla daweyntaas.

Xitaa ka sii xun, waxay baraysaa cashar khaldan: khariidadda aasaasiga ah wali maqan, sidaas darteed cilladdu waxay soo noqotaa toddobaadyo kadib iyada oo aan lahayn kicin cad iyo xasuus ku saabsan hareerahaas. chcon u isticmaal kaliya tijaabo ku-meel-gaar ah si aad u xaqiijiso mala-awaal, kadib ku beddel khariidad ka badbaadaysa calaamadaynta dib u eegista xigta, oo hubi in beddelka uu runtii meeshiisa yaal.

Marka calaamaddu sax tahay oo gelitaanku wali guuldarraysado

Ka bilow gal-dhigyada waalidka. Ogolaanshaha dhexmarista waxaa lagu hubiyaa qayb kasta oo jidka ah, sidaas darteed shahaadad si sax ah loo calaamadeeyay oo ku jirta gal-dhig aan adeeggu geli karin wali waa mid aan la akhrin karin. SELinux iyo ogolaanshaha caadiga ah labaduba waa inay oggolaadaan tallaabo kasta, midna hagaajintiisu ma hagaajiso tan kale.

Kadib hubi aqoonsiga habka iyo sandbox-ka adeegga laftiisa. Unug leh sandbox xaddidan wuxuu diidi karaa gelitaanka fayl siyaasaddu si farxad leh u ogolaan lahayd, oo safka diiwaanka labada sababood isku mid ayay u muuqdaan. Xaqiiji habka runtii weydiinaya, ma aha kan aad u malaynayso inuu weydiinayo.

Xusuuso in xeerarka dontaudit ay cabburin karaan fariimaha diidmada, sidaas darteed diiwaan hanti-aadin madhan waa caddayn daciif ah ee ma aha caddayn. Haddii siyaasaddu sax u muuqato oo gelitaanku wali guuldarraysado, baadh ka hor inta aadan abuurin module ogolaansho ballaaran, oo ha damin SELinux si calaamaddu u libdho. Labada waddo ee gaabanba waxay soo saaraan nidaam u muuqda mid shaqaynaya iyo mawqif amni oo aan cidna qeexi karin. Baadhis gaaban ayaa ka wanaagsan labadaba.