VPN க்கு தேவையானதை விட சிறப்பு உரிமை முறை ஏன் பரந்தது

கொள்கலன் அதன் சுரங்கப்பாதையைத் திறக்கவில்லை, எனவே சிறப்பு உரிமைக் கொடி சேர்க்கப்பட்டது, இப்போது அது வேலை செய்கிறது. அந்த வரிசை குறைந்தது ஒரு அனுமதி இல்லை என்பதை மட்டுமே நிறுவியது, எது என்பதைப் பற்றி எதுவும் கூறவில்லை. சிறப்பு உரிமை முறை சுரங்கப்பாதை இடைமுகத்திற்குத் தேவையானதை விட மிகப் பரந்த திறன்களையும் சாதன அணுகலையும் தருகிறது.

கொடி உண்மையில் மாற்றுவது என்ன

சிறப்பு உரிமை கொண்ட கொள்கலன் பரந்த திறன்களையும் புரவலன் சாதனங்களுக்கான அணுகலையும் பெறுகிறது, இது வலைப்பிணைப்புப் பாதைக்குத் தேவையானதை விட மிகப் பெரிய அனுமதி. சரியான தொகுப்பை நாட்டுப்புறக் கதை அல்ல, இயக்கச் சூழல் ஆவணப்படுத்துகிறது, மேலும் Docker இன் கொள்கலன் இயக்கும் ஆவணம் கிடைக்கும் சிறப்பு உரிமை விருப்பங்களை விவரிக்கிறது. ஒரு முறை படித்தாலே சுரங்கப்பாதை மொத்தத்தின் சிறிய பகுதி என்பதைக் காண முடியும்.

மேலும் இரண்டு குறுகிய தேவைகள் பெரும்பாலான VPN கொள்கலன்களை உள்ளடக்குகின்றன. இடைமுகத்தை உள்ளமைக்க வலையமைப்பு நிர்வாகத் திறன் தேவை, சுரங்கப்பாதை சாதனத்தைத் திறக்க அதே குறிப்பிட்ட சாதன முனைக்கு அணுகல் தேவை. இவை தனித்தனி அனுமதிகள், இரண்டையும் தந்தாலும் அது பொதுவான விருப்பத்தை விடக் குறுகியதே. சிறப்பு உரிமைத் தொகுப்பின் மீதமுள்ள பகுதிக்கு சுரங்கப்பாதையுடன் எந்தத் தொடர்பும் இல்லை. இது உண்மையிலேயே புரவலன் மட்டத்து அணுகல் தேவைப்படும் பணிகளுக்கானது, VPN கொள்கலன் பொதுவாக அவற்றில் ஒன்றல்ல.

ஒவ்வொரு பிழையையும் ஒரு முன்நிபந்தனையுடன் இணைக்கவும்

பிழைச் செய்தி எந்த முன்நிபந்தனை இல்லை என்பதை அடக்குவதற்கு முன் படித்தால் சொல்லும். சாதன முனை பற்றிய செய்தி சாதனத்தைப் பெயரிடுகிறது, அனுமதிக்கப்படாத செயல்பாடு பற்றிய செய்தி ஒரு திறனைப் பெயரிடுகிறது, தொகுதி அல்லது sysctl பற்றிய செய்தி கருநெய்க் ஆதரவைப் பெயரிடுகிறது. இவை ஒவ்வொன்றுக்கும் வெவ்வேறு திருத்தம் உள்ளது, இவற்றில் ஒன்று மட்டுமே திறன்.

இல்லாத உள்ளமைவுக் கோப்பு அனைத்து திறன்களும் வழங்கப்பட்ட பிறகும் இல்லாததாகவே இருக்கும், அதனால்தான் சிறப்பு உரிமை முறை சில நேரங்களில் எதையும் மாற்றுவதில்லை. கொள்கலன் தொடங்குகிறது, சுரங்கப்பாதை இன்னும் தோல்வியடைகிறது, உண்மையான பிழை ஒருபோதும் அனுமதிகளைப் பற்றியதல்ல. கருநெய்க் ஆதரவு மூன்றாவது நிலை, தவறாகப் படிக்க எளிதானது. புரவலனில் ஏற்றப்படாத தொகுதியை சிறப்பு உரிமை இல்லாத கொள்கலனின் உள்ளிருந்து ஏற்ற முடியாது, கொள்கலனுக்குள் கூடுதல் திறன்கள் தருவது புரவலனின் நிலையை மாற்றாது.

அறிகுறியல்ல, தேவையைச் சரிபார்க்கவும்

படிமம் ஆவணப்படுத்தும் மிகக் குறைந்த அழைப்பிலிருந்து தொடங்கி, அதை இயக்கி, தோல்வியின் சரியான உரையை வைத்திருங்கள். பிறகு ஒரு நேரத்தில் ஒரு அனுமதியைச் சேர்த்து, எந்தச் சேர்ப்பு முடிவை மாற்றியது என்பதைக் குறிக்கவும்.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

சாதனத்தைப் பார்க்கவும் திறனைக் கொண்டிருக்கவும் செய்யும் ஆனால் இன்னும் தோல்வியடையும் கொள்கலன் சிக்கல் வேறெங்கோ உள்ளது என்று சொல்கிறது. அது பயனுள்ள முடிவு, சிறப்பு உரிமை முறை அதை மறைத்திருக்கும்.

புரவலனில் சாதன அனுமதிகளையும் சரிபார்க்கவும், ஏனெனில் சரியாக வழங்கப்பட்ட சாதன முனை தவறான குழு உரிமையுடன் இல்லாத அனுமதியைப் போலவே அதே பிழையை உருவாக்குகிறது.

வேலை செய்யும் மிகக் குறுகிய அனுமதியைப் பதிவு செய்யுங்கள்

வரிசைப்படுத்தலுக்குத் தேவையான ஒவ்வொரு சாதனத்தையும் திறனையும், அவற்றை நியாயப்படுத்திய பிழையுடன் எழுதுங்கள். அந்தப் பதிவே அடுத்த நபருக்கு எதையாவது பாதுகாப்பாக அகற்ற அனுமதிக்கிறது, கொள்கலன் சிறப்பு உரிமை பெற்றது எனத் தெரிவிக்கப்படும்போது தணிக்கையாளர் கேட்பதும் அதுவே.

சுற்றியுள்ள சூழலையும் மதிப்பாய்வு செய்யுங்கள், ஏனெனில் புரவலன் வலையமைப்பு, புரவலன் பொருத்துதல்கள் மற்றும் இயக்கச் சூழல் விருப்பங்கள் ஒவ்வொன்றும் ஒரு அனுமதியின் தாக்கத்தை விரிவாக்கலாம். அவை அனைத்தையும் இணைக்கும் தனிமைப்படுத்தப்பட்ட ஆய்வக அழைப்பு, எவ்வளவு நன்றாக வேலை செய்தாலும், உற்பத்தி உள்ளமைவு அல்ல. வரிசைப்படுத்தலை முடிந்தது என அறிவிக்கும் முன் பயன்பாட்டையும், அதன் DNS நடத்தையையும், ஒரு சுரங்கப்பாதைத் தோல்வியையும் சோதிக்கவும். இடைமுகத்தை உருவாக்கும் அனுமதி வெளிச்செல் கொள்கை அல்ல, சரியாகச் சுரங்கப்பாதை அமைக்கக்கூடிய கொள்கலனும் பயன்பாடு அனுப்புவதை எல்லாம் இன்னும் வழிமாற்றுகிறது.