Miks Squid ei saa oma logifaili avada
Kontrolli iga teekomponenti ning erista kataloogides liikumist, olemasolevasse faili lisamist ja uue loomist enne õiguste laiendamist.
access_log stdio:/srv/squid-logs/access.log logformat=squidÜlaltoodud Squid 6 stdio-logija näite puhul kontrolli teed seda muutmata:
namei -l /srv/squid-logs/access.log| Toiming | Vajalik ligipääs |
|---|---|
| Ülemkataloogide tee läbimine | Otsingu-/käivitusõigus igas kataloogis |
| Olemasolevasse logisse lisamine | Tee läbimise ja faili kirjutamise õigus |
| Puuduva logi loomine | Lisaks kirjutusõigus vahetus ülemkataloogis |
Võrdle õiguste bitte ja ACL-e tegeliku kirjutava protsessi identiteediga. Stdio kirjutab Squidi kaudu; daemon-logimine kasutab abiprotsessi. Logirotatsiooni ümbernimetamine või asendamine võib nõuda muid kataloogiõigusi.
Paranda keelu põhjustanud komponent. Ainult läbimiseks pole kirjutusõigust kõigis ülemkataloogides vaja. Kui tavalised õigused on piisavad, uuri teenuse turvapoliitika keeldu, mitte ära laienda paigaldus- või vahemälupuu õigusi rekursiivselt.