CA iliyoshirikiwa, milango tofauti: huduma moja kwa kila faili ya ruhusa

Cheti kinachothibitishwa dhidi ya mamlaka iliyoshirikiwa kimepita jaribio la uaminifu, si jaribio la uanachama. Maamuzi haya mawili mara nyingi huchanganywa kwa sababu yote hutokea wakati wa muunganisho, na mchanganyiko huo hubaki usionekane hadi mtu asiyepaswa kuwa kwenye huduma aruhusiwe humo. Suluhisho si mamlaka ya pili; ni uamuzi wa pili, unaofanywa kwa kila huduma na kurekodiwa mahali ambapo daemon anausoma. Tenganisha mawili na mkanganyiko mwingi katika eneo hili hupotea.

Mnyororo unaoaminika hausemi chochote kuhusu uanachama wa huduma

Huduma mbili zinaweza kukubali uongozi mmoja wa utoaji na bado ziwe na makundi tofauti ya watu. Laptop moja ni ya kwanza na haipaswi kufikia ya pili, wakati wateja wengine wa uongozi huo wana nasaba huko kweli. Kuondoa mamlaka kwenye huduma hiyo kungefunga kila mtu anayeitumia kwa halali, kwa hivyo kazi ni ruhusa, si uaminifu.

Inasaidia kufikiria kufuli mbili kwenye mlango mmoja. Cheti hufungua kufuli ya nje, na uamuzi wa kila huduma hufungua ile ya ndani; hakuna hata moja inayochukua nafasi ya nyingine. Huduma iliyo na kufuli ya nje pekee haitekelezi uanachama kabisa, inathibitisha tu. Andika maamuzi yote mawili kabla ya kubadilisha chochote, kwa sababu sera iliyopo tu kwa mfumo wa muunganisho unaofanya kazi haiwezi kukaguliwa. Kinachofuata kinahusu kufuli ya ndani.

Fanya mabadiliko ya hiari kuwa lango la ruhusa

Saraka ya usanidi wa mteja kawaida ni urahisi: faili zilizo ndani hubadilisha mipangilio ya wateja wanaowataja, na mteja asiye na faili huendesha tu na maadili chaguo-msingi ya seva. Agizo moja hubadilisha urahisi huo kuwa lango, hivyo faili inayokosekana inamaanisha muunganisho unakataliwa.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Toleo la jamii la OpenVPN 2.6 ccd-exclusive linaandika kwenye ukurasa wake wa mwongozo sharti hili hasa, na utafutaji wa faili iliyotajwa unategemea utambulisho halisi wa mteja. Miundo mingine na seva zinazosimamiwa na bidhaa zinaweza kutofautiana, kwa hivyo thibitisha toleo lililowekwa kabla ya kutegemea maana hiyo hiyo mahali pengine.

Chukulia njia iliyo juu kama mfano na kagua mpangilio halisi uliowekwa badala ya kuunda saraka iliyobuniwa na mwongozo. Acha ukaguzi wa cheti, ukaguzi wa utambulisho wa seva na uthibitishaji wa akaunti kama zilivyokuwa, kwa sababu kipande huongeza sharti na hakuondoi chochote. Andaa mabadiliko kabla ya uzalishaji, kwa sababu kukataliwa kunakotolewa mahali pabaya huonekana kama hitilafu ya cheti na kuelekeza uchunguzi kwa mamlaka. Kisha thibitisha kwamba mstari wa kumbukumbu kwa mteja aliyekataliwa unataja faili ya usanidi inayokosekana na si mnyororo.

Saraka moja kwa kila huduma, si orodha moja iliyoshirikiwa

Uanachama ni wa huduma inayoutekeleza, kwa hivyo kila huduma huhifadhi saraka yake na faili zake. Kuelekeza huduma mbili kwenye orodha moja huwafanya kushiriki uanachama iwe mtu alikusudia hivyo au la, na mabadiliko yanayotokana ni vigumu kufuatilia hadi uamuzi. Mamlaka iliyoshirikiwa inaweza kubaki imeshirikiwa; faili za ruhusa haziwezi. Kuzitenganisha pia kunamaanisha kwamba hitilafu katika huduma moja haiwezi kupanua nyingine kwa kimya.

Kipengele cha DEFAULT ni kisa kinachowapotosha watu. Hutoa mipangilio mbadala pale faili iliyotajwa haipatikani, lakini si faili iliyotajwa ambayo lango linahitaji, kwa hivyo haiwezi kuruhusu mteja peke yake. Jaribu mteja asiye na kipengele kabisa na uthibitishe kukataliwa; ikiwa mteja huyo anaruhusiwa, mbadala unatumika na ccd-exclusive haina nguvu katika mfano huo.

Utambulisho halisi huamua faili ipi inasomwa

Utafutaji hutumia utambulisho ambao mteja alijithibitisha kwa kweli, ambao kawaida ni jina la kawaida la cheti. Pale seva pia huthibitisha jina la mtumiaji na nenosiri na kuweka jina hilo kwenye jina la kawaida, faili lazima ilingane na jina la mtumiaji lililothibitishwa. Kutokulingana huacha saraka iliyojaa majina ya faili yanayowezekana ambayo hayachaguliwi kamwe.

Usomaji ni nusu nyingine. Daemon kawaida huacha mapendeleo baada ya kuanza, kwa hivyo akaunti iliyopunguzwa inahitaji ufikiaji wa kusoma saraka na kila kipengele ndani yake. Wateja hawapaswi kuweza kuunda kipengele chao wenyewe kupitia njia yoyote inayoweza kuandikwa, kwa sababu ruhusa ya kujihudumia inabatilisha utaratibu kabisa. Kagua ruhusa za kuweka na kushiriki na si hali ya faili pekee, kwa sababu saraka inayoonekana imefungwa kwa akaunti moja inaweza kuwa wazi kwa nyingine. Kisha thibitisha akaunti ambayo mchakato unaoendesha hutumia kweli, si akaunti ambayo faili ya unit inataja. Hizi mbili ni sawa tu wakati hakuna kingine kilichozibadilisha.

Angalia kukataliwa, ruhusa na kufuta kwa tofauti

Jaribu utambulisho wa huduma na uthibitishe kwamba unaunganisha. Jaribu cheti halali kisichokuwa na kipengele na uthibitishe kwamba kinakataliwa. Jaribu utambulisho ulioruhusiwa kwenye huduma nyingine na uthibitishe kwamba hauruhusiwi hapa. Andika mfano wa huduma na utambulisho halisi kando ya kila tokeo, kwa sababu tokeo lisilo na muktadha huo hakuna mtu mwingine anayeweza kulizalisha tena.

Kuondoa ni tendo tofauti na kufuta. Kuhariri faili ya ruhusa huondoa haki ya huduma moja wakati utambulisho unabaki halali kila mahali pengine, ilhali ufunguo ulioathirika unahitaji majibu ya kufuta ya shirika. Amua mapema nini kitatokea kwa vipindi vilivyoanza tayari, kwa sababu kuhariri saraka au orodha ya kufuta hakuviweki mwisho vyenyewe.

Ruhusa pia ni lango la kwanza pekee. Kujiunga na huduma haisemi chochote kuhusu subneti, hifadhidata au violesura vya usimamizi vilivyo nyuma yake, na sera hiyo ya rasilimali lazima iandikwe na kujaribiwa kivyake.