Eksporti NFS i kyçur në një adresë VPN: çfarë nuk provon
Një rregull eksporti kontrollon nga ka ardhur paketa; AUTH_SYS deklaron një UID lokal dhe Kerberos vërteton një përdorues. Vendosni çfarë i duhet shërbimit tuaj të skedarëve.
Një host eksporton një drejtori në një adresë VPN, montimi ka sukses dhe dizajni shënohet si i vërtetuar. Ajo që rregulli kufizon në të vërtetë është nga duket se vijnë paketat. Nëse personi që drejton operacionin e skedarit është ai që pretendon se është varet nga profili i sigurisë NFS, dhe në shumicën e eksporteve të këtij lloji askush nuk e ka ndryshuar atë nga vlera e parazgjedhur.
Tre identitete mund të shfaqen në një kërkesë
Partneri VPN mban një identitet të regjistruar, si një certifikatë klienti ose një çelës partneri. Paketa IP e brendshme mban një adresë burimi. Operacioni i skedarit mban ato kredenciale përdoruesi që siguron mekanizmi i tij NFS. Një dizajn që e trajton adresën si zëvendësues për të tre ka supozuar në heshtje pikërisht pjesën që duhej verifikuar.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Shkrimi i atyre tre rreshtave është i gjithë ushtrimi. Pjesa më e madhe e debatit nëse një eksport është i sigurt shembet sapo bëhet e qartë në cilin rresht jeton secili kontroll.
Pronësia e adresës është një detaj implementimi
Një portë mund t'i caktojë një adresë tuneli një partneri të pranuar, ose të autorizojë një nënrrjet të rrugëzuar për të. Nëse implementimi më pas refuzon një paketë burimi i brendshëm i së cilës i përket një klienti tjetër është veti e atij implementimi, dhe ia vlen të kontrollohet në vend që të supozohet.
Kodi i serverit në hapësirën e përdoruesit të Community tradicional OpenVPN mund, për shembull, të refuzojë një burim të lidhur me një klient tjetër përpara se paketa të dorëzohet përmes pajisjes TUN. Ky është një kontroll pronësie adrese me vlerë reale, dhe ende nuk është vërtetim i përdoruesit NFS, sepse nuk thotë asgjë për atë se cili llogari kryen operacionin.
Përkthimi i burimit gërryen edhe atë. Një portë NAT mund ta paraqesë çdo klient si një adresë të vetme, dhe atëherë një rregull eksporti nuk mund t'i dallojë njerëzit pas saj. Saktësia e dukshme e rregullit bëhet atëherë një trillim i mbajtur nga diagrami. Nëse eksporti ka rëndësi, mbajeni adresimin të qartë në vend që të lejoni një përkthyes të vendosë kush llogaritet si kush.
Lexoni profilin e sigurisë përpara se t'i besoni eksportit
Udhëzuesi i Red Hat për NFS ndan sec=sys, i cili përdor UID dhe GID lokale të UNIX përmes AUTH_SYS, nga mënyrat Kerberos. krb5 shton vërtetimin e përdoruesit, krb5i shton mbrojtjen e integritetit dhe krb5p shton mbrojtjen e privatësisë për trafikun.
Kredencialet AUTH_SYS përmbajnë fusha si UID e thirrësit dhe identifikuesit e grupit, dhe RFC 5531 paralajmëron qartë se ky profil nuk ofron siguri në vetvete dhe varet nga mbrojtja e jashtme. Ekzekutimi i tij brenda një VPN ofron mbrojtje për transportin dhe nuk ndryshon asgjë në pohimin brenda paketës.
exportfs -v
showmount -e nfs.example.internalLexoni profilin në atë dalje përpara se të lexoni listën e klientëve. Një eksport që duket i kufizuar mund të jetë i kufizuar vetëm nga adresa ndërsa çdo thirrës ende deklaron çfarëdo UID që i pëlqen.
Zgjidhni modelin, pastaj mbani lejet
Zgjidhni modelin e vërtetimit të shërbimit të skedarëve që i përshtatet klientëve që administroni në të vërtetë. Kerberos kërkon një identitet dhe një vendosje shërbimi pas tij, kështu që ndryshimi i një opsioni montimi nuk është migrim dhe thjesht do të dështojë derisa të ekzistojnë domeni Kerberos, principalët dhe skedarët keytab.
Në të dy modelet, mbani lejet e eksportit dhe autorizimin e sistemit të skedarëve që kufizojnë atë që mund të bëjë principali i vërtetuar. Vërtetimi ju tregon kush po pyet; autorizimi vendos nëse përgjigjja duhet të jetë po. Bashkimi i të dyjave në një cilësim është mënyra se si një migrim përfundon duke dhënë më shumë sesa jepte konfigurimi i vjetër.
Përdorni rregullin e adresës për qëllimin e tij të vërtetë
Kufizimi i shërbimit në rrugën dhe burimet e miratuara mbetet i vlefshëm, duke përfshirë politikën e hyrjes së hostit kur pika fundore VPN dhe serveri NFS ndajnë të njëjtën makinë. Rregullat që përçojnë trafikun nuk qeverisin kërkesat e drejtuara ndaj një shërbimi që ekzekutohet lokalisht në të njëjtin host. Kjo boshllëk shpjegon një numër befasues eksportesh që synonin të ishin private. Kontrolloni shprehimisht politikën lokale të hyrjes në vend që të supozoni se rregullat e tunelit e mbulojnë atë.
Kontrolloni që një ndërfaqe tjetër ose një portë me përkthim burimi nuk mund ta përmbushë rregullin papritur, dhe trajtojeni atë si arsye për të vërtetuar origjinën, jo si pohim se falsifikimi i një adrese garanton një montim funksional.
Ekzekutoni tre raste pranimi në vend të një. Filloni me një klient të miratuar që vepron si përdorues i miratuar, pastaj përsëriteni nga një partner që nuk u miratua kurrë, dhe më pas provoni diçka që përdoruesi i miratuar ende nuk lejohet ta bëjë. Më pas pyesni çfarë ndryshon nëse një klient i autorizuar komprometohet, sepse vërtetimi i transportit nuk e bën çdo proces në atë makinë të besueshëm. Një certifikatë e vjedhur dhe një llogari lokale kureshtare janë probleme të ndryshme me kontrolle të ndryshme.