VPN manziliga qulflangan NFS eksporti: bu nimani isbotlamaydi
Eksport qoidasi paket qayerdan kelganini tekshiradi; AUTH_SYS mahalliy UIDni da'vo qiladi va Kerberos foydalanuvchini autentifikatsiya qiladi. Fayl xizmatingizga qaysi biri kerakligini hal qiling.
Xost katalogni VPN manziliga eksport qiladi, mount muvaffaqiyatli o'tadi va loyiha autentifikatsiya qilingan deb yoziladi. Bu qoida aslida paketlar qayerdan kelayotgandek ko'rinishini cheklaydi. Fayl amalini boshqarayotgan shaxs o'zi da'vo qilgan shaxsmi yoki yo'qmi NFS xavfsizlik turiga bog'liq, va bunday eksportlarning ko'pida hech kim uni standart holatdan o'zgartirmagan.
Bitta so'rovda uchta identifikatsiya paydo bo'lishi mumkin
VPN hamkori mijoz sertifikati yoki hamkor kaliti kabi ro'yxatga olingan identifikatsiyani olib yuradi. Ichki IP paketi manba manzilini olib yuradi. Fayl amali uning NFS mexanizmi taqdim etgan foydalanuvchi hisob ma'lumotlarini olib yuradi. Manzilni uchalasining o'rnini bosuvchi deb biladigan loyiha tekshirilishi kerak bo'lgan qismni jimgina taxmin qilgan.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
O'sha uch qatorni yozish butun mashqdir. Eksport xavfsizmi degan bahsning katta qismi har bir nazorat qaysi qatorda yashashi aniq bo'lganda qulaydi.
Manzil egaligi amalga oshirish tafsiloti
Shlyuz qabul qilingan hamkorga tunnel manzilini berishi yoki unga marshrutlangan quyi tarmoqqa ruxsat berishi mumkin. Amalga oshirish keyin ichki manbasi boshqa mijozga tegishli paketni rad etadimi, bu o'sha amalga oshirishning xususiyati, va buni taxmin qilishdan ko'ra tekshirishga arziydi.
An'anaviy Community OpenVPN foydalanuvchi maydoni server kodi, masalan, paket TUN qurilmasi orqali yetkazilishidan oldin boshqa mijoz bilan bog'liq manbani rad etishi mumkin. Bu haqiqiy qiymatga ega manzil egaligi tekshiruvi, va u hali NFS foydalanuvchisini autentifikatsiya qilish emas, chunki amalni qaysi hisob bajarayotgani haqida hech narsa demaydi.
Manba tarjimasi buni ham yemiradi. NAT shlyuzi har bir mijozni bitta manzil sifatida ko'rsatishi mumkin, va unda eksport qoidasi uning orqasidagi odamlarni ajrata olmaydi. Qoidaning ko'rinadigan aniqligi keyin diagramma ushlab turgan uydirmaga aylanadi. Agar eksport muhim bo'lsa, manzillashni ochiq tuting, kim kimning o'rnida sanalishini tarjimonga hal qildirmang.
Eksportga ishonishdan oldin xavfsizlik turini o'qing
Red Hat'ning NFS qo'llanmasi AUTH_SYS orqali mahalliy UNIX UID va GID ishlatadigan sec=sys rejimini Kerberos rejimlaridan ajratadi. krb5 foydalanuvchi autentifikatsiyasini, krb5i yaxlitlik himoyasini, krb5p esa trafik uchun maxfiylik himoyasini qo'shadi.
AUTH_SYS hisob ma'lumotlari chaqiruvchining UIDsi va guruh identifikatorlari kabi maydonlarni o'z ichiga oladi, va RFC 5531 bu tur o'z-o'zidan xavfsizlik bermasligi va tashqi himoyaga bog'liqligi haqida ochiq ogohlantiradi. Uni VPN ichida ishga tushirish transport uchun himoya beradi va paket ichidagi da'voda hech narsani o'zgartirmaydi.
exportfs -v
showmount -e nfs.example.internalMijozlar ro'yxatini o'qishdan oldin o'sha chiqishdagi turni o'qing. Cheklangan ko'rinadigan eksport faqat manzil bilan cheklangan bo'lishi mumkin, har bir chaqiruvchi esa hali ham o'zi xohlagan UIDni da'vo qiladi.
Modelni tanlang, so'ng huquqlarni saqlang
Siz haqiqatan boshqaradigan mijozlarga mos fayl xizmati autentifikatsiya modelini tanlang. Kerberos orqasida identifikatsiya va xizmat joylashtirishni talab qiladi, shuning uchun bitta mount parametrini o'zgartirish migratsiya emas va Kerberos domeni, prinsiplar va keytab fayllari mavjud bo'lmaguncha u shunchaki muvaffaqiyatsiz bo'ladi.
Ikkala modelda ham autentifikatsiya qilingan prinsipal nima qilishi mumkinligini cheklaydigan eksport huquqlari va fayl tizimi avtorizatsiyasini saqlang. Autentifikatsiya kim so'rayotganini aytadi; avtorizatsiya javob ha bo'lishi kerakmi yo'qmi hal qiladi. Bu ikkisini bitta sozlamaga birlashtirish migratsiyaning eski konfiguratsiyadan ko'proq huquq berish yo'lidir.
Manzil qoidasini uning haqiqiy maqsadi uchun ishlating
Xizmatni tasdiqlangan yo'l va manbalar bilan cheklash hali ham arziydi, VPN oxirgi nuqtasi va NFS serveri bitta mashinani bo'lishganda host kiritish siyosati ham. Trafikni uzatadigan qoidalar quyidagilarga qaratilgan so'rovlarni boshqarmaydi: o'sha hostda mahalliy ishlaydigan xizmat. Bu bo'shliq maxfiy bo'lishi kerak bo'lgan hayratlanarli ko'p eksportlarni tushuntiradi. Tunnel qoidalari uni qoplaydi deb taxmin qilish o'rniga mahalliy kiritish siyosatini ochiq tekshiring.
Boshqa interfeys yoki manbani tarjima qiluvchi shlyuz qoidani kutilmaganda bajara olmasligini tekshiring va buni manzilni soxtalashtirish ishlaydigan mount kafolatlaydi degan da'vo emas, kelib chiqishni aniqlash uchun sabab deb biling.
Bitta emas, uchta qabul holatini ishga tushiring. Tasdiqlangan mijoz tasdiqlangan foydalanuvchi sifatida harakat qilishdan boshlang, so'ng hech qachon tasdiqlanmagan hamkordan takrorlang, so'ng tasdiqlangan foydalanuvchiga hali ruxsat etilmagan narsani sinab ko'ring. Keyin avtorizatsiya qilingan mijoz buzilsa nima o'zgarishini so'rang, chunki transport autentifikatsiyasi o'sha mashinadagi har bir jarayonni ishonchli qilmaydi. O'g'irlangan sertifikat va qiziquvchan mahalliy hisob turli nazoratga ega turli muammolardir.