Kitufe cha VPN kinahitaji sudo: punguza upeo wa kanuni, thibitisha sera

Kitufe cha VPN hufanya kazi kwa msimamizi na kushindwa kwa wengine wote, kwa hiyo mtu anaongeza mstari kwenye sudoers. Mstari huo kwa kawaida huishi muda mrefu kuliko tatizo ulilokusudiwa kutatua, na mara nyingi hutoa zaidi ya kile kitufe kinachohitaji. Kabla ya kuhariri sera, angalia kama mmiliki wa muunganisho unaoungwa mkono anaweza tayari kufanya kazi hiyo. Masharti matatu hapa chini yanaamua kama sudo inahusika kabisa.

Sharti 1: mmiliki anayeungwa mkono anaweza kuifanya bila sudo

Kwenye desktop nyingi za Linux msimamizi wa mtandao tayari anamiliki miunganisho ya VPN, na idhini yake hupitia polkit badala ya sudo. Mtumiaji anayeruhusiwa kuinua muunganisho anaweza kuifanya kutoka kwenye mstari wa amri bila kanuni yoyote ya root. Angalia msimamizi anaruhusu nini kabla ya kudhani kitufe kinahitaji upendeleo. Ikiwa jibu ni ndiyo, mabadiliko ya sudoers yanatatua tatizo ambalo halipo.

nmcli connection show
nmcli connection up "Work VPN"

Ikiwa msimamizi anakataa, soma kwa nini: kanuni ya polkit inayokosekana, muunganisho unaomilikiwa na mtumiaji mwingine au wasifu uliohifadhiwa mahali ambapo mtumiaji hawezi kuusoma. Kila moja ya haya ina marekebisho yanayoungwa mkono na nyembamba zaidi kuliko kanuni ya sudo. Kupandisha upendeleo ni njia ya mwisho, si ya kwanza.

Sharti 2: kanuni inataja faili moja inayoweza kutekelezwa na hoja zake

Ikiwa sudo inahitajika kweli, kanuni inapaswa kutaja amri kamili na, inapowezekana, hoja ambazo inaweza kutumia. Kanuni inayomruhusu mtumiaji kuendesha script ya kufunika ni salama kwa kadiri ruhusa za script hiyo zilivyo salama, kwa sababu mtumiaji anaweza kuhariri kile root itakachotekeleza. Kanuni yenye alama ya wildcard baada ya amri ni tatizo lile lile kwa umbo fupi.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

Angalia kila njia katika mnyororo wa amri: faili binary, script inayoiita, faili ya usanidi inayoisoma na folda yoyote katikati. Ikiwa mtumiaji anaweza kuandika kwenye mojawapo, kanuni iliyopunguzwa kwa vitendo ni root isiyo na kikomo. Hoja pia ni muhimu, kwa sababu amri inayokubali njia ya usanidi inaweza kuelekezwa kwenye faili ambalo mtumiaji anadhibiti. Andika kanuni kwa ajili ya operesheni, si kwa ajili ya kitufe.

Simama ikiwa amri inahitaji faili inayodhibitiwa na mtumiaji ili ifanye kazi. Basi muundo ni mbaya, na hakuna sintaksia yoyote ya sudoers itakayoifanya salama.

Sharti 3: sera yote inachambuliwa, si mstari wako peke yake

Thibitisha kwa kihariri kinachofunga faili na kukagua sintaksia, na thibitisha sera iliyokusanywa badala ya kipande. Faili inayochambuliwa yenyewe bado inaweza kuvunja mpangilio wa ujumuishaji au kurudia kanuni kwa namna inayobadilisha tabia.mwongozo wa visudo unaandika kihariri kinachofunga na hali ya ukaguzi-tu inayotumika hapa.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

Ukaguzi huripoti faili na mstari unaposhindwa, na ripoti hiyo ndiyo sehemu muhimu. Rekebisha mabadiliko yaliyokusudiwa kupitia kihariri badala ya kulazimisha kuhifadhi kosa linalojulikana, kwa sababu sera iliyovunjika inaweza kuwafunga nje wasimamizi wote kwa mara moja. Faili katika folda ya ujumuishaji pia zinahitaji umiliki na hali inayohitajika na mwongozo, la sivyo zitapuuzwa au kukataliwa. Sintaksia ni lango la kwanza tu: baada ya kupita, soma kanuni tena na uulize inaruhusu nini kwa kweli.

Simama ikiwa njia pekee ya kufanya mabadiliko yafanye kazi ni kuzima ukaguzi wa sintaksia. Hiyo si sera, ni kukatika kunakongoja kuwashwa upya.

Urejeshaji: weka kipindi kinachofanya kazi bado

Kabla ya kuhifadhi, hakikisha kipindi cha utawala kilichoidhinishwa tayari kiko wazi na kwamba njia ya pili ya kuingia kwenye mashine ipo. Kosa la sudoers linaweza kukunyang'anya uwezo wa kuirekebisha, na kitufe cha desktop hakistahili hatari hiyo. Ikiwa sudo tayari imevunjika, tumia njia ya urejeshaji iliyoandikwa ya mfumo badala ya kubuni yako mwenyewe.

sudo -n true
id

Njia mbadala kama pkexec hutegemea usakinishaji na sera zao wenyewe, kwa hiyo si ombi la pili la root lililohakikishwa. Weka idhini ya ndani kando na utoaji wa siri ya VPN pia: kanuni ya sudo haiwezi kufungua wakala wa siri asiyekuwepo, na haikidhi MFA ya lango. Baada ya marekebisho, jaribu akaunti ya kawaida ikifanya operesheni iliyokusudiwa tu, kisha tumia vidhibiti vya kawaida vya msimamizi.

Uamuzi huisha wakati unaweza kusema ni sharti gani lilihalalisha sudo, kanuni inataja nini, kwamba sera yote inachambuliwa, na jinsi ungejirekebisha kama si hivyo. Kianzishi chenye upendeleo kinachokugharimu ufikiaji wa utawala ni biashara mbaya, na kwa kawaida inaweza kuepukwa.