VPN பொத்தானுக்கு sudo தேவை: விதியின் எல்லையைக் குறைக்கவும், கொள்கையைச் சரிபார்க்கவும்

VPN பொத்தான் நிர்வாகிக்கு வேலை செய்கிறது, மற்ற அனைவருக்கும் தோல்வியடைகிறது, எனவே யாரோ sudoers-ல் ஒரு வரியைச் சேர்க்கிறார். அந்த வரி பொதுவாக அது தீர்க்க வேண்டிய சிக்கலை விட நீண்ட காலம் வாழ்கிறது, மேலும் பொத்தானுக்குத் தேவையானதை விட அதிக அதிகாரம் தருகிறது. கொள்கையைத் திருத்தும் முன், ஆதரிக்கப்படும் இணைப்பின் உரிமையாளர் ஏற்கனவே இந்த வேலையைச் செய்ய முடியுமா எனச் சரிபார்க்கவும். கீழே உள்ள மூன்று நிபந்தனைகள் sudo ஈடுபடுகிறதா என்பதைத் தீர்மானிக்கின்றன.

நிபந்தனை 1: ஆதரிக்கப்படும் உரிமையாளர் இதை sudo இல்லாமல் செய்ய முடியும்

பெரும்பாலான Linux டெஸ்க்டாப்புகளில் நெட்வொர்க் மேலாளர் ஏற்கனவே VPN இணைப்புகளின் உரிமையாளர், அதன் அங்கீகாரம் sudo அல்ல, polkit வழியாகச் செல்கிறது. இணைப்பை உயர்த்த அனுமதி பெற்ற பயனர் எந்த root விதியும் இல்லாமல் கட்டளை வரியிலிருந்து இதைச் செய்ய முடியும். பொத்தானுக்கு சலுகை தேவை என்று கருதும் முன் மேலாளர் எதை அனுமதிக்கிறது எனச் சரிபார்க்கவும். பதில் ஆம் என்றால், sudoers மாற்றம் இல்லாத ஒரு சிக்கலைத் தீர்க்கிறது.

nmcli connection show
nmcli connection up "Work VPN"

மேலாளர் மறுத்தால், ஏன் எனப் படிக்கவும்: காணாத polkit விதி, வேறு பயனருக்குச் சொந்தமான இணைப்பு அல்லது பயனர் படிக்க முடியாத இடத்தில் சேமிக்கப்பட்ட சுயவிவரம். இவை ஒவ்வொன்றுக்கும் sudo விதியை விட குறுகிய ஆதரிக்கப்பட்ட திருத்தம் உள்ளது. சலுகை உயர்த்தல் கடைசி வழி, முதல் வழி அல்ல.

நிபந்தனை 2: விதி ஒரு இயக்கக்கூடிய கோப்பையும் அதன் அளவுருக்களையும் பெயரிடுகிறது

sudo உண்மையில் தேவைப்பட்டால், விதி சரியான கட்டளையையும், முடிந்தால் அது பயன்படுத்தக்கூடிய அளவுருக்களையும் பெயரிட வேண்டும். பயனர் ஒரு மடக்கு ஸ்கிரிப்டை இயக்க அனுமதிக்கும் விதி அந்த ஸ்கிரிப்டின் அனுமதிகளுக்கு மட்டுமே பாதுகாப்பானது, ஏனெனில் பயனர் root இயக்கும் விஷயத்தைத் திருத்த முடியும். கட்டளைக்குப் பின் வைல்ட்கார்டு உள்ள விதி அதே சிக்கலின் சுருக்கமான வடிவம்.

sudo -l -U alice
ls -l /usr/local/sbin/vpn-up

கட்டளைச் சங்கிலியில் உள்ள ஒவ்வொரு பாதையையும் சரிபார்க்கவும்: பைனரி, அது அழைக்கும் ஸ்கிரிப்ட், அது படிக்கும் கட்டமைப்புக் கோப்பு மற்றும் இவற்றுக்கு இடையே உள்ள எந்தக் கோப்பகமும். இவற்றில் ஏதேனும் பயனர் எழுதக்கூடியதாக இருந்தால், குறைக்கப்பட்ட விதி நடைமுறையில் வரம்பற்ற root ஆகும். அளவுருக்களும் முக்கியம், ஏனெனில் கட்டமைப்புப் பாதையை ஏற்கும் கட்டளையை பயனர் கட்டுப்படுத்தும் கோப்பை நோக்கித் திருப்பலாம். விதியை பொத்தானுக்காக அல்ல, செயல்பாட்டுக்காக எழுதுங்கள்.

கட்டளை வேலை செய்ய பயனர் கட்டுப்படுத்தும் கோப்பு தேவைப்பட்டால் நிறுத்துங்கள். அப்போது வடிவமைப்பு தவறு, எந்த sudoers இலக்கணமும் அதைப் பாதுகாப்பாக்காது.

நிபந்தனை 3: முழு கொள்கையும் பாகுபடுத்தப்படுகிறது, உங்கள் வரி மட்டுமல்ல

கோப்பைப் பூட்டி இலக்கணத்தைச் சரிபார்க்கும் திருத்தியுடன் சரிபார்க்கவும், துண்டாக அல்ல, இணைக்கப்பட்ட கொள்கையைச் சரிபார்க்கவும். தானே பாகுபடுத்தப்படும் கோப்பும் சேர்க்கை வரிசையை உடைக்கலாம் அல்லது நடத்தையை மாற்றும் வகையில் விதியை நகலெடுக்கலாம்.visudo கையேடு இங்கு பயன்படுத்தப்படும் பூட்டும் திருத்தி மற்றும் சரிபார்ப்பு-மட்டும் பயன்முறை இரண்டையும் ஆவணப்படுத்துகிறது.

sudo visudo -c
sudo visudo -cf /etc/sudoers.d/vpn-launcher

சரிபார்ப்பு தோல்வியடையும்போது கோப்பு மற்றும் வரியைத் தெரிவிக்கிறது, அந்த அறிக்கையே பயனுள்ள பகுதி. தெரிந்த பிழையை வலுக்கட்டாயமாகச் சேமிப்பதற்குப் பதிலாக திருத்தி வழியாக நோக்கமான மாற்றத்தைச் சரிசெய்யுங்கள், ஏனெனில் உடைந்த கொள்கை அனைத்து நிர்வாகிகளையும் ஒரே நேரத்தில் வெளியேற்றலாம். சேர்க்கை கோப்பகத்தில் உள்ள கோப்புகளுக்கும் கையேடு கோரும் உரிமையும் முறையும் தேவை, இல்லையேல் அவை புறக்கணிக்கப்படும் அல்லது நிராகரிக்கப்படும். இலக்கணம் முதல் வாயில் மட்டுமே: அது கடந்த பிறகு விதியை மீண்டும் படித்து அது உண்மையில் எதை அனுமதிக்கிறது எனக் கேளுங்கள்.

மாற்றம் வேலை செய்ய ஒரே வழி இலக்கணச் சரிபார்ப்பை முடக்குவது என்றால் நிறுத்துங்கள். அது கொள்கை அல்ல, மறுதொடக்கத்திற்குக் காத்திருக்கும் தடங்கல்.

மீட்பு: இன்னும் வேலை செய்யும் அமர்வை வைத்திருங்கள்

சேமிக்கும் முன், அங்கீகரிக்கப்பட்ட நிர்வாக அமர்வு ஏற்கனவே திறந்திருப்பதையும், இயந்திரத்திற்கு இரண்டாவது பாதை இருப்பதையும் உறுதிப்படுத்துங்கள். sudoers தவறு அதைச் சரிசெய்யும் திறனைப் பறிக்கலாம், டெஸ்க்டாப் பொத்தான் அந்த ஆபத்துக்குத் தகுதியற்றது. sudo ஏற்கனவே உடைந்திருந்தால், சொந்தமாக உருவாக்குவதற்குப் பதிலாக கணினியின் ஆவணப்படுத்தப்பட்ட மீட்புப் பாதையைப் பயன்படுத்துங்கள்.

sudo -n true
id

pkexec போன்ற மாற்றுகள் அவற்றின் சொந்த நிறுவல் மற்றும் கொள்கையைச் சார்ந்தவை, எனவே அவை உறுதியான இரண்டாவது root கோரிக்கை அல்ல. உள்ளூர் அங்கீகாரத்தை VPN ரகசியம் வழங்குவதிலிருந்தும் தனியாக வைத்திருங்கள்: sudo விதி இல்லாத ரகசிய முகவரைத் திறக்க முடியாது, நுழைவாயிலின் MFA-வையும் பூர்த்தி செய்யாது. திருத்தத்திற்குப் பின் சாதாரண கணக்கு நோக்கமான செயல்பாட்டை மட்டும் செய்வதைச் சோதித்து, பின்னர் மேலாளரின் சாதாரண கட்டுப்பாடுகளைப் பயன்படுத்துங்கள்.

எந்த நிபந்தனை sudo-வை நியாயப்படுத்தியது, விதி எதைப் பெயரிடுகிறது, முழு கொள்கையும் பாகுபடுத்தப்படுகிறது, இல்லையெனில் எப்படி மீட்பீர்கள் எனக் கூற முடிந்தால் முடிவு முடிகிறது. நிர்வாக அணுகலை இழக்கச் செய்யும் சலுகை பெற்ற தொடக்கி மோசமான பேரம், பொதுவாக அதைத் தவிர்க்கலாம்.