VPN చిరునామాకు లాక్ చేసిన NFS ఎగుమతి: అది ఏమి నిరూపించదు
ఎగుమతి నియమం ప్యాకెట్ ఎక్కడి నుండి వచ్చిందో తనిఖీ చేస్తుంది; AUTH_SYS స్థానిక UIDని ప్రకటిస్తుంది, Kerberos వినియోగదారుని ధృవీకరిస్తుంది. మీ ఫైల్ సేవకు ఏది అవసరమో నిర్ణయించండి.
ఒక హోస్ట్ డైరెక్టరీని VPN చిరునామాకు ఎగుమతి చేస్తుంది, మౌంట్ విజయవంతమవుతుంది, రూపకల్పన ధృవీకరించబడినట్లు నమోదవుతుంది. ఆ నియమం వాస్తవంగా పరిమితం చేసేది ప్యాకెట్లు ఎక్కడి నుండి వస్తున్నట్లు కనిపిస్తుందో అనేది మాత్రమే. ఫైల్ ఆపరేషన్ నిర్వహిస్తున్న వ్యక్తి తాను చెప్పుకునే వ్యక్తేనా అనేది NFS భద్రతా ఫ్లేవర్పై ఆధారపడి ఉంటుంది, ఇలాంటి చాలా ఎగుమతుల్లో ఎవరూ దాన్ని డిఫాల్ట్ నుండి మార్చలేదు.
ఒకే అభ్యర్థనలో మూడు గుర్తింపులు కనిపించవచ్చు
VPN పీర్ క్లయింట్ సర్టిఫికెట్ లేదా పీర్ కీ వంటి నమోదైన గుర్తింపును కలిగి ఉంటుంది. లోపలి IP ప్యాకెట్ మూల చిరునామాను కలిగి ఉంటుంది. ఫైల్ ఆపరేషన్ దాని NFS యంత్రాంగం అందించే వినియోగదారు ఆధారాలను కలిగి ఉంటుంది. చిరునామాను మూడింటికీ ప్రతినిధిగా భావించే రూపకల్పన ధృవీకరించాల్సిన భాగాన్నే నిశ్శబ్దంగా ఊహించుకుంది.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
ఆ మూడు వరుసలు రాయడమే మొత్తం వ్యాయామం. ఎగుమతి సురక్షితమా అనే చర్చలో ఎక్కువ భాగం ఏ నియంత్రణ ఏ వరుసలో ఉంటుందో స్పష్టమైనప్పుడు కూలిపోతుంది.
చిరునామా యాజమాన్యం అనేది అమలు వివరం
ఒక గేట్వే ఆమోదించిన పీర్కు టన్నెల్ చిరునామాన్ని కేటాయించవచ్చు, లేదా దానికి మార్గనిర్దేశిత ఉపజాలాన్ని అనుమతించవచ్చు. ఆ తర్వాత అమలు లోపలి మూలం మరో క్లయింట్కు చెందిన ప్యాకెట్ను తిరస్కరిస్తుందా అనేది ఆ అమలు లక్షణం, ఊహించడం కంటే తనిఖీ చేయడం విలువైనది.
సాంప్రదాయ Community OpenVPN వినియోగదారు-స్థల సర్వర్ కోడ్, ఉదాహరణకు, ప్యాకెట్ TUN పరికరం ద్వారా అందించబడే ముందే మరో క్లయింట్తో సంబంధం ఉన్న మూలాన్ని తిరస్కరించవచ్చు. ఇది నిజమైన విలువ కలిగిన చిరునామా యాజమాన్య తనిఖీ, ఇది ఇంకా NFS వినియోగదారు ధృవీకరణ కాదు, ఎందుకంటే ఏ ఖాతా ఆపరేషన్ చేస్తోందో ఏమీ చెప్పదు.
మూల అనువాదం దాన్ని కూడా క్షీణింపజేస్తుంది. NAT గేట్వే ప్రతి క్లయింట్ను ఒకే చిరునామాగా చూపవచ్చు, అప్పుడు ఎగుమతి నియమం దాని వెనుక ఉన్న వ్యక్తులను వేరు చేయలేదు. అప్పుడు నియమం యొక్క కనిపించే ఖచ్చితత్వం చిత్రం నిలబెట్టే కల్పితంగా మారుతుంది. ఎగుమతి ముఖ్యమైతే, ఎవరు ఎవరి స్థానంలో లెక్కించబడతారో అనువాదకుడు నిర్ణయించనివ్వకుండా చిరునామా కేటాయింపును స్పష్టంగా ఉంచండి.
ఎగుమతిని విశ్వసించే ముందు భద్రతా ఫ్లేవర్ చదవండి
Red Hat యొక్క NFS మార్గదర్శిని AUTH_SYS ద్వారా స్థానిక UNIX UID మరియు GIDలను ఉపయోగించే sec=sys ఫ్లేవర్ను Kerberos పద్ధతుల నుండి వేరు చేస్తుంది. krb5 వినియోగదారు ధృవీకరణను జోడిస్తుంది, krb5i సమగ్రత రక్షణను జోడిస్తుంది, krb5p ట్రాఫిక్కు గోప్యతా రక్షణను జోడిస్తుంది.
AUTH_SYS ఆధారాలలో కాలర్ యొక్క UID మరియు సమూహ గుర్తింపులు వంటి క్షేత్రాలు ఉంటాయి, ఈ ఫ్లేవర్ తనంతట తానే ఎటువంటి భద్రతను అందించదు మరియు బాహ్య రక్షణపై ఆధారపడి ఉంటుందని RFC 5531 స్పష్టంగా హెచ్చరిస్తుంది. దాన్ని VPN లోపల నడపడం రవాణాకు రక్షణ ఇస్తుంది, ప్యాకెట్ లోపలి ప్రకటనలో ఏమీ మార్చదు.
exportfs -v
showmount -e nfs.example.internalక్లయింట్ జాబితా చదవడానికి ముందు ఆ అవుట్పుట్లోని ఫ్లేవర్ చదవండి. పరిమితంగా కనిపించే ఎగుమతి చిరునామా ద్వారా మాత్రమే పరిమితం కావచ్చు, అయితే ప్రతి కాలర్ తనకు నచ్చిన UIDని ప్రకటిస్తూనే ఉంటాడు.
నమూనాను ఎంచుకోండి, ఆపై అనుమతులను ఉంచండి
మీరు నిజంగా నిర్వహించే క్లయింట్లకు సరిపోయే ఫైల్-సేవా ధృవీకరణ నమూనాను ఎంచుకోండి. Kerberos వెనుక గుర్తింపు మరియు సేవా అమరిక అవసరం, కాబట్టి ఒక మౌంట్ ఎంపికను మార్చడం వలస కాదు మరియు Kerberos డొమైన్, ప్రిన్సిపల్స్, keytabలు ఉన్నంత వరకు అది కేవలం విఫలమవుతుంది.
రెండు నమూనాలలో, ధృవీకరించిన ప్రిన్సిపల్ ఏమి చేయగలదో పరిమితం చేసే ఎగుమతి అనుమతులు మరియు ఫైల్సిస్టమ్ అధికారాన్ని ఉంచండి. ధృవీకరణ ఎవరు అడుగుతున్నారో చెబుతుంది; అధికారం సమాధానం అవునా అని నిర్ణయిస్తుంది. ఈ రెండింటినీ ఒకే సెట్టింగ్గా కలపడమే వలస పాత కాన్ఫిగరేషన్ కంటే ఎక్కువ అధికారం ఇచ్చే మార్గం.
చిరునామా నియమాన్ని దాని నిజమైన ఉద్దేశ్యానికి ఉపయోగించండి
సేవను ఆమోదిత మార్గం మరియు మూలాలకు పరిమితం చేయడం ఇప్పటికీ విలువైనది, VPN ముగింపు బిందువు మరియు NFS సర్వర్ ఒకే మెషీన్ను పంచుకున్నప్పుడు హోస్ట్ ఇన్పుట్ విధానంతో సహా. ట్రాఫిక్ను ముందుకు పంపే నియమాలు అదే హోస్ట్పై స్థానికంగా నడుస్తున్న సేవ వైపు మళ్లించిన అభ్యర్థనలను నియంత్రించవు. ఈ అంతరం గోప్యంగా ఉండాల్సిన ఆశ్చర్యకరమైన సంఖ్యలో ఎగుమతులను వివరిస్తుంది. టన్నెల్ నియమాలు దాన్ని కవర్ చేస్తాయని ఊహించడం కంటే స్థానిక ఇన్పుట్ విధానాన్ని స్పష్టంగా తనిఖీ చేయండి.
మరో ఇంటర్ఫేస్ లేదా మూల-అనువాదం చేసే గేట్వే ఊహించని విధంగా నియమాన్ని నెరవేర్చలేదని తనిఖీ చేయండి, దాన్ని చిరునామాను నకిలీ చేయడం పనిచేసే మౌంట్కు హామీ అనే ప్రకటనగా కాక, మూలాన్ని స్థాపించడానికి కారణంగా పరిగణించండి.
ఒకటి కాకుండా మూడు అంగీకార సందర్భాలను నడపండి. ఆమోదిత క్లయింట్ ఆమోదిత వినియోగదారుగా పనిచేయడంతో ప్రారంభించండి, తర్వాత ఎప్పుడూ ఆమోదించబడని పీర్ నుండి పునరావృతం చేయండి, తర్వాత ఆమోదిత వినియోగదారుకు ఇంకా అనుమతి లేని ఏదైనా ప్రయత్నించండి. తర్వాత అధికారం పొందిన క్లయింట్ రాజీపడితే ఏమి మారుతుందో అడగండి, ఎందుకంటే రవాణా ధృవీకరణ ఆ మెషీన్పై ప్రతి ప్రక్రియను విశ్వసనీయం చేయదు. దొంగిలించబడిన సర్టిఫికెట్ మరియు ఆసక్తిగల స్థానిక ఖాతా వేర్వేరు నియంత్రణలతో కూడిన వేర్వేరు సమస్యలు.