Butoni VPN kërkon sudo: kufizoni rregullin, validoni politikën

Butoni VPN funksionon për administratorin dhe dështon për të gjithë të tjerët, kështu që dikush shton një rresht te sudoers. Ai rresht zakonisht jeton më shumë se problemi që duhej të zgjidhte, dhe shpesh jep më shumë sesa i nevojitet butonit. Përpara se të modifikoni politikën, kontrolloni nëse pronari i mbështetur i lidhjes mund ta kryejë tashmë punën. Tre kushtet më poshtë vendosin nëse sudo është i përfshirë fare.

Kushti 1: pronari i mbështetur mund ta bëjë pa sudo

Në shumicën e desktopëve Linux menaxheri i rrjetit tashmë zotëron lidhjet VPN, dhe autorizimi i tij kalon përmes polkit dhe jo përmes sudo. Një përdorues që lejohet të ngrejë një lidhje mund ta bëjë këtë nga rreshti i komandave pa asnjë rregull root. Kontrolloni çfarë lejon menaxheri përpara se të supozoni që butoni ka nevojë për privilegj. Nëse përgjigjja është po, ndryshimi në sudoers zgjidh një problem që nuk ekziston.

nmcli connection show
nmcli connection up "Work VPN"

Nëse menaxheri refuzon, lexoni pse: një rregull polkit që mungon, një lidhje në pronësi të një përdoruesi tjetër ose një profil i ruajtur atje ku përdoruesi nuk mund ta lexojë. Secili prej tyre ka një rregullim të mbështetur, më të ngushtë se një rregull sudo. Eskalimi i privilegjeve është mjeti i fundit, jo i pari.

Kushti 2: rregulli emërton një skedar ekzekutues dhe argumentet e tij

Nëse sudo është vërtet i nevojshëm, rregulli duhet të emërtojë komandën e saktë dhe, kur është e mundur, argumentet që mund të përdorë. Një rregull që lejon një përdorues të ekzekutojë një skript mbështjellës është vetëm aq i sigurt sa lejet e atij skripti, sepse përdoruesi mund të modifikojë atë që do të ekzekutojë root. Një rregull me një karakter wildcard pas komandës është i njëjti problem në një formë më të shkurtër.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Kontrolloni çdo shteg në zinxhirin e komandës: binarin, skriptin që thërret, skedarin e konfigurimit që lexon dhe çdo drejtori në mes. Nëse përdoruesi mund të shkruajë në ndonjë prej tyre, rregulli i kufizuar është në praktikë root i pakufizuar. Edhe argumentet kanë rëndësi, sepse një komandë që pranon një shteg konfigurimi mund të drejtohet nga një skedar që kontrollon përdoruesi. Shkruani rregullin për operacionin, jo për butonin.

Ndaloni nëse komanda ka nevojë për një skedar të kontrolluar nga përdoruesi për të funksionuar. Atëherë dizajni është i gabuar, dhe asnjë sintaksë sudoers nuk do ta bëjë të sigurt.

Kushti 3: analizohet e gjithë politika, jo vetëm rreshti juaj

Validoni me redaktorin që bllokon skedarin dhe kontrollon sintaksën, dhe validoni politikën e montuar dhe jo një fragment. Një skedar që analizohet vetë mund të prishë ende rendin e përfshirjes ose të dublojë një rregull në një mënyrë që ndryshon sjelljen.manuali i visudo dokumenton si redaktorin bllokues ashtu edhe modalitetin vetëm-kontroll të përdorur këtu.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Kontrolli raporton skedarin dhe rreshtin kur dështon, dhe pikërisht ai raport është pjesa e dobishme. Rregulloni ndryshimin e synuar përmes redaktorit në vend që të ruani me forcë një gabim të njohur, sepse një politikë e prishur mund të bllokojë të gjithë administratorët njëherësh. Skedarët në drejtorinë e përfshirjes kanë gjithashtu nevojë për pronësinë dhe modalitetin që kërkon manuali, përndryshe do të injorohen ose refuzohen. Sintaksa është vetëm porta e parë: pasi kalon, lexoni përsëri rregullin dhe pyesni çfarë lejon në të vërtetë.

Ndaloni nëse mënyra e vetme për ta bërë ndryshimin të funksionojë është të çaktivizoni kontrollin e sintaksës. Kjo nuk është politikë, është një ndërprerje që pret një rindezje.

Rikuperimi: mbani një sesion që është ende funksional

Përpara se të ruani, sigurohuni që një sesion administrativ i autorizuar është tashmë i hapur dhe se ekziston një rrugë e dytë në makinë. Një gabim në sudoers mund t'ju heqë aftësinë për ta rregulluar, dhe një buton në desktop nuk ia vlen ai rrezik. Nëse sudo është tashmë i prishur, përdorni rrugën e dokumentuar të rikuperimit të sistemit në vend që të improvizoni një.

sudo -n true
id

Alternativat si pkexec varen nga instalimi dhe politika e tyre, kështu që nuk janë një kërkesë e dytë root e garantuar. Mbani gjithashtu autorizimin lokal të ndarë nga furnizimi i sekretit të VPN: një rregull sudo nuk mund të zhbllokojë një agjent sekreti që mungon dhe nuk plotëson MFA-n e gateway-it. Pas korrigjimit, provoni llogarinë normale duke kryer vetëm operacionin e synuar, pastaj përdorni kontrollet e zakonshme të menaxherit.

Vendimi përfundon kur mund të thoni cili kusht justifikoi sudo, çfarë emërton rregulli, se e gjithë politika analizohet dhe si do të rikuperoheshit nëse jo. Një lëshues i privilegjuar që ju kushton aksesin administrativ është një marrëveshje e keqe, dhe zakonisht është e shmangshme.