NFS export na nakakandado sa isang VPN address: ano ang hindi nito pinapatunayan
Sinusuri ng isang patakaran ng export kung saan galing ang packet; naghahayag ang AUTH_SYS ng lokal na UID at pinapatotohanan ng Kerberos ang isang user. Magpasya kung alin ang kailangan ng iyong file service.
Nage-export ang isang host ng direktoryo sa isang VPN address, nagtagumpay ang mount, at naitala ang disenyo bilang authenticated. Ang tinatakdaan talaga ng patakarang iyon ay kung saan lumilitaw na galing ang mga packet. Kung ang taong nagpapatakbo ng file operation ay talagang siya ang sinasabi niyang siya ay nakasalalay sa NFS security flavour, at sa karamihan ng ganitong export ay walang nagbago nito mula sa default.
Tatlong identidad ang maaaring lumitaw sa isang kahilingan
Nagdadala ang VPN peer ng nakatalang identidad tulad ng client certificate o peer key. Nagdadala ang panloob na IP packet ng source address. Nagdadala ang file operation ng anumang user credential na ibinibigay ng NFS mechanism nito. Ang disenyong itinuturing ang address bilang kapalit ng tatlo ay tahimik na ipinalagay ang bahaging kailangang i-verify.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Ang pagsulat ng tatlong linyang iyon ang buong pagsasanay. Ang malaking bahagi ng debate kung ligtas ang isang export ay gumuguho kapag malinaw na kung aling linya nakatira ang bawat kontrol.
Ang pagmamay-ari ng address ay detalye ng implementasyon
Maaaring magtalaga ang gateway ng tunnel address sa isang tinanggap na peer, o mag-authorize ng routed subnet para dito. Kung tatanggihan ng implementasyon ang isang packet na ang panloob na source ay pag-aari ng ibang client ay katangian ng implementasyong iyon, at sulit itong suriin kaysa ipagpalagay.
Maaaring tanggihan ng tradisyonal na Community OpenVPN user-space server code, halimbawa, ang isang source na nauugnay sa ibang client bago ihatid ang packet sa pamamagitan ng TUN device. Iyon ay isang pagsusuri ng pagmamay-ari ng address na may tunay na halaga, at hindi pa rin ito authentication ng NFS user, dahil wala itong sinasabi tungkol sa kung aling account ang nagsasagawa ng operasyon.
Ninuubos ng source translation maging iyon. Maaaring ipakita ng NAT gateway ang bawat client bilang isang address, at hindi na matukoy ng patakaran ng export ang mga taong nasa likod nito. Ang maliwanag na katumpakan ng patakaran ay nagiging kathang-isip na pinapanatili ng diagram. Kung mahalaga ang export, panatilihing tahasan ang addressing kaysa hayaang magpasya ang isang tagasalin kung sino ang itinuturing na sino.
Basahin ang security flavour bago magtiwala sa export
Hinihiwalay ng gabay ng Red Hat sa NFS ang sec=sys, na gumagamit ng lokal na UNIX UID at GID sa pamamagitan ng AUTH_SYS, mula sa mga Kerberos mode. Nagdadagdag ang krb5 ng authentication ng user, nagdadagdag ang krb5i ng proteksyon ng integridad, at nagdadagdag ang krb5p ng proteksyon ng privacy para sa trapiko.
Naglalaman ang AUTH_SYS credential ng mga field tulad ng UID ng tumatawag at mga group ID, at malinaw na nagbabala ang RFC 5531 na ang flavour na ito ay hindi nagbibigay ng seguridad sa sarili nito at umaasa sa panlabas na proteksyon. Ang pagpapatakbo nito sa loob ng VPN ay nagbibigay ng proteksyon para sa transport at walang binabago sa pahayag sa loob ng packet.
exportfs -v
showmount -e nfs.example.internalBasahin ang flavour sa output na iyon bago basahin ang listahan ng client. Ang export na mukhang limitado ay maaaring limitado lamang sa address habang ang bawat tumatawag ay naghahayag pa rin ng kahit anong UID.
Piliin ang modelo, pagkatapos ay panatilihin ang mga pahintulot
Piliin ang modelo ng authentication ng file service na angkop sa mga client na aktwal na pinangangasiwaan mo. Nangangailangan ang Kerberos ng identidad at paglalagay ng serbisyo sa likod nito, kaya ang pagbabago ng isang mount option ay hindi migration at basta mabibigo hanggang sa umiral ang Kerberos domain, mga principal at keytab.
Sa alinman sa dalawang modelo, panatilihin ang mga pahintulot ng export at ang authorization ng filesystem na naglilimita sa maaaring gawin ng authenticated principal. Sinasabi ng authentication kung sino ang nagtatanong; nagpapasya ang authorization kung ang sagot ay dapat oo. Ang pagsasanib ng dalawa sa isang setting ang paraan ng pagtatapos ng migration na nagbibigay ng higit sa ibinigay ng lumang configuration.
Gamitin ang patakaran ng address para sa tunay nitong layunin
Ang paglimita ng serbisyo sa aprubadong landas at mga source ay nananatiling kapaki-pakinabang, kabilang ang host input policy kapag ang VPN endpoint at NFS server ay nagbabahagi ng makina. Ang mga patakarang nagpapasa ng trapiko ay hindi namamahala sa mga kahilingang nakadirekta sa isang serbisyong tumatakbo nang lokal sa parehong host. Ipinapaliwanag ng puwang na iyon ang nakakagulat na bilang ng mga export na dapat sana ay pribado. Suriin nang tahasan ang lokal na input policy kaysa ipagpalagay na sakop ito ng mga patakaran ng tunnel.
Suriin na ang ibang interface o gateway na may source translation ay hindi maaaring matugunan ang patakaran nang hindi inaasahan, at ituring iyon na dahilan upang itatag ang pinagmulan, hindi bilang pag-aangkin na ang pagpeke ng address ay ginagarantiyahan ang gumaganang mount.
Magpatakbo ng tatlong acceptance case kaysa isa. Magsimula sa aprubadong client na kumikilos bilang aprubadong user, pagkatapos ay ulitin mula sa peer na hindi kailanman naaprubahan, pagkatapos ay subukan ang isang bagay na hindi pa pinapayagan sa aprubadong user. Pagkatapos ay itanong kung ano ang magbabago kung ang isang awtorisadong client ay makompromiso, dahil hindi ginagawang mapagkakatiwalaan ng authentication ng transport ang bawat proseso sa makinang iyon. Ang ninakaw na certificate at ang mausisang lokal na account ay magkaibang problema na may magkaibang kontrol.