Usafirishaji wa NFS uliofungwa kwa anwani ya VPN: kile usichokithibitisha
Kanuni ya usafirishaji hukagua pakiti ilikotoka; AUTH_SYS hudai UID ya ndani na Kerberos huthibitisha mtumiaji. Amua ni ipi ambayo huduma yako ya faili inahitaji.
Mwenyeji husafirisha saraka kwa anwani ya VPN, upachikaji hufanikiwa, na ubunifu huandikwa kama uliothibitishwa. Kanuni hiyo kwa kweli inazuia wapi pakiti zinaonekana zinatoka. Ikiwa mtu anayeendesha operesheni ya faili ni yule anayedai kuwa ni yeye inategemea ladha ya usalama ya NFS, na katika usafirishaji mwingi wa aina hii hakuna aliyebadilisha kutoka chaguo-msingi.
Vitambulisho vitatu vinaweza kuonekana katika ombi moja
Mwenza wa VPN hubeba kitambulisho kilichosajiliwa kama cheti cha mteja au ufunguo wa mwenza. Pakiti ya IP ya ndani hubeba anwani ya chanzo. Operesheni ya faili hubeba stakabadhi za mtumiaji anazotoa utaratibu wake wa NFS. Ubunifu unaochukulia anwani kama mbadala wa zote tatu umechukua kimyakimya sehemu ambayo ilipaswa kuthibitishwa.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Kuandika safu hizo tatu ndiyo zoezi lote. Sehemu kubwa ya mjadala kuhusu kama usafirishaji ni salama huanguka mara tu inapoeleweka ni safu ipi kila udhibiti unaishi.
Umiliki wa anwani ni maelezo ya utekelezaji
Lango linaweza kumpa mwenza aliyekubaliwa anwani ya handaki, au kuidhinisha subneti iliyopitishwa kwa njia kwa ajili yake. Ikiwa utekelezaji kisha unakataa pakiti ambayo chanzo chake cha ndani ni cha mteja mwingine ni sifa ya utekelezaji huo, na inafaa kuangalia badala ya kudhani.
Msimbo wa seva wa nafasi ya mtumiaji wa Community wa jadi OpenVPN kwa mfano unaweza kukataa chanzo kinachohusiana na mteja mwingine kabla pakiti kuwasilishwa kupitia kifaa cha TUN. Hiyo ni ukaguzi wa umiliki wa anwani wenye thamani halisi, na bado si uthibitishaji wa mtumiaji wa NFS, kwa sababu haisemi chochote kuhusu akaunti ipi inafanya operesheni.
Utafsiri wa chanzo huharibu hata hilo. Lango la NAT linaweza kuwasilisha kila mteja kama anwani moja, na wakati huo kanuni ya usafirishaji haiwezi kutofautisha watu walio nyuma yake. Usahihi unaoonekana wa kanuni huwa hadithi ya kubuni inayodumishwa na mchoro. Ikiwa usafirishaji ni muhimu, weka uanwani wazi badala ya kumruhusu mtafsiri kuamua nani anahesabiwa kama nani.
Soma ladha ya usalama kabla ya kuamini usafirishaji
Mwongozo wa NFS wa Red Hat hutenganisha sec=sys, ambao hutumia UID na GID za UNIX za ndani kupitia AUTH_SYS, na njia za Kerberos. krb5 huongeza uthibitishaji wa mtumiaji, krb5i huongeza ulinzi wa uadilifu, na krb5p huongeza ulinzi wa faragha kwa trafiki.
Stakabadhi za AUTH_SYS zina sehemu kama UID ya mpigaji simu na vitambulisho vya kikundi, na RFC 5531 inaonya wazi kwamba ladha hii haitoi usalama yenyewe na inategemea ulinzi wa nje. Kuendesha ndani ya VPN hutoa ulinzi kwa usafirishaji na hakubadilishi chochote katika madai yaliyo ndani ya pakiti.
exportfs -v
showmount -e nfs.example.internalSoma ladha katika matokeo hayo kabla ya kusoma orodha ya wateja. Usafirishaji unaoonekana kuwa na kikomo unaweza kuwa na kikomo kwa anwani pekee wakati kila mpigaji simu bado anadai UID yoyote anayotaka.
Chagua muundo, kisha weka ruhusa
Chagua muundo wa uthibitishaji wa huduma ya faili unaofaa wateja unaosimamia kwa kweli. Kerberos inahitaji kitambulisho na usambazaji wa huduma nyuma yake, kwa hiyo kubadilisha chaguo moja la upachikaji si uhamaji na litashindwa tu hadi kikoa cha Kerberos, wakuu na keytab ziwepo.
Chini ya muundo wowote, weka ruhusa za usafirishaji na idhini ya mfumo wa faili zinazozuia kile mkuu aliyethibitishwa anaweza kufanya. Uthibitishaji hukuambia ni nani anayeuliza; idhini huamua kama jibu linapaswa kuwa ndiyo. Kuunganisha hizo mbili katika mpangilio mmoja ndiyo njia ambayo uhamaji huishia kutoa zaidi ya ule mpangilio wa zamani.
Tumia kanuni ya anwani kwa madhumuni yake halisi
Kuzuia huduma kwa njia na vyanzo vilivyoidhinishwa bado kunafaa, ikiwa ni pamoja na sera ya uingizaji ya mwenyeji wakati kituo cha mwisho cha VPN na seva ya NFS zinashiriki mashine. Kanuni zinazopeleka trafiki mbele hazitawali maombi yaliyoelekezwa kwa huduma inayoendeshwa ndani ya mwenyeji huyo huyo. Pengo hilo linaeleza idadi ya kushangaza ya usafirishaji ambao ulikusudiwa kuwa wa faragha. Angalia sera ya uingizaji ya ndani kwa uwazi badala ya kudhani kanuni za handaki zinaifunika.
Angalia kwamba kiolesura kingine au lango lenye utafsiri wa chanzo haliwezi kutimiza kanuni hiyo bila kutarajia, na chukulia hilo kama sababu ya kuthibitisha asili badala ya dai kwamba kughushi anwani kunahakikisha upachikaji unaofanya kazi.
Endesha kesi tatu za kukubali badala ya moja. Anza na mteja aliyekubaliwa akifanya kazi kama mtumiaji aliyekubaliwa, kisha rudia kutoka kwa mwenza ambaye hakuwahi kukubaliwa, kisha jaribu kitu ambacho mtumiaji aliyekubaliwa bado haruhusiwi kufanya. Kisha uliza nini kinabadilika ikiwa mteja aliyeidhinishwa ataathirika, kwa sababu uthibitishaji wa usafirishaji haufanyi kila mchakato kwenye mashine hiyo kuwa wa kuaminika. Cheti kilichoibiwa na akaunti ya ndani yenye udadisi ni matatizo tofauti yenye udhibiti tofauti.