Moet die gebruikersessie die SSHFS-monteerpunt oor VPN besit?

Om 'n gedeelde vouer te monteer nadat die VPN opkom, behels twee identiteite wat maklik verwar word: die komponent wat die netwerk mag opstel, en die rekening wat by die lêerbediener mag aanmeld. Hulle is selde dieselfde. 'n Root-eiendom VPN-haak is 'n swak plek om 'n lessenaargebruiker se SSHFS-monteerpunt te begin, want dit het nie die gebruiker se agent of die beoogde monteereienaarskap nie. Om eienaarskap eerste reg te kry, maak die sneller eenvoudig.

Twee identiteite, twee afsonderlike toestemmings

Die VPN-kliënt het voorregte nodig om roetes en koppelvlakke te verander. Die SSHFS-monteerpunt het 'n SSH-identiteit nodig wat die lêerbediener aanvaar en 'n FUSE-monteerpunt wat besit word deur die rekening wat die lêers sal lees. Een skrip wat as root loop, bevredig die eerste vereiste en breek die tweede stilweg.

Om as root te monteer, laat die lêers buite die lessenaarsessie en moontlik sonder toegang tot die agent wat die gebruiker se sleutel hou. Die monteerpunt bestaan, die gebruiker kan nie daardeur skryf nie, en die fout lyk soos 'n bedienerkant-toestemmingsprobleem. Daardie verkeerde diagnose kos 'n middag en 'n kaartjie aan die stoorspan.

Besluit watter rekening die monteerpunt besit voordat jy enige outomatisering skryf, want daardie keuse bepaal waar die sneller woon en watter geloofsbriewe dit kan bereik.

Stel eers met die hand 'n gebruikersbesitde monteerpunt op

Begin met 'n aangemelde gebruiker met 'n leë monteerpunt, 'n gemagtigde SSH-rekening en 'n werkende pad na die bediener deur die tonnel. 'n Handmatige monteerpunt vestig die basislyn wat enige outomatisering moet reproduseer.

mkdir -p "$HOME/mnt/team"
sshfs [email protected]:/exports/team "$HOME/mnt/team"
mount | grep sshfs

Die name is voorbeelde, vervang dus die gasheer en uitvoerpad wat jou bediener werklik bied. Verifieer die gasheersleutel deur die goedgekeurde proses op daardie eerste verbinding. Let op dat 'n VPN-rekeningwagwoord nie outomaties die stoorrekening se geloofsbrief is nie, wat 'n algemene oorsaak van mislukte pogings is.

Voer dit as 'n gewone gebruiker uit met 'n monteerpunt wat daardie gebruiker besit. Slegs die monterende rekening bereik die lêers by verstek, en allow_other verbreed daardie grens na elke plaaslike gebruiker. Dit is 'n doelbewuste verbreding van toegang, nie 'n workaround vir outomatisering nie.

Laat die sneller in dieselfde sessiekonteks optree

Laat die ondersteunde VPN-gebeurtenisintegrasie 'n gebruikersessie-aksie vra om te loop, in plaas daarvan om aan te neem 'n bevoorregte callback kan 'n lessenaar-geloofsbrief leen. Beperk die sneller tot die beoogde verbindingidentifiseerder eerder as tot enige koppelvlak wat toevallig tun0 heet. 'n Verspreiderreël wat op die verkeerde ding pas, vuur op elke netwerkverandering, insluitend dié wat niks met hierdie monteerpunt te doen het nie.

Die aksie moet die verwagte gasheernaam bevestig, 'n bestaande monteerpunt raaksien en een begrensde poging doen. 'n Peil-lus wat elke paar sekondes 'n nuwe SSHFS-proses begin, of 'n geloofsbrief-vraag herhaal terwyl die bediener af is, verander 'n kort onderbreking in 'n hoop vashaakende prosesse. Begrens die poging met 'n tydsbeperking en 'n enkele herprobeerslag.

nmcli -g UUID connection show --active
systemctl --user list-units 'sshfs*'
pgrep -a sshfs

Die eerste opdrag gee die verbindingidentifiseerder wat die verspreider moet pas. Die ander twee wys of 'n poging reeds loop, en dit is die kontrole wat duplikate voorkom.

'n Onbewaakte diens het sy eie goedgekeurde geloofsbrief en gasheerverifikasie-reëling in sy eie uitvoeringskonteks nodig. Dit kan nie aanneem 'n grafiese agent is ontsluit nie, en dit moet nie probeer om een te ontsluit nie.

Beplan die ontkoppeling voordat jy die opruiming forseer

Voltooi vir 'n beplande ontkoppeling die lêerbewerkings en ontkoppel uit die monterende gebruiker se eie werkvloei. Rig op die monteerpunt eerder as op die proses, en bevestig die resultaat voordat jy sukses rapporteer.

fusermount3 -u "$HOME/mnt/team"
mountpoint "$HOME/mnt/team"

Ontkoppel net die monteerpunt wat hierdie werkvloei geskep het. As dit besig is, is dit 'n toepassingsbesluit: 'n geforseerde loskoppeling wat bestaan om 'n haak sukses te laat teruggee, verberg dataverlies in plaas daarvan om dit te voorkom.

Onverwagte verlies gedra hom anders. SSHFS dokumenteer dat 'n netwerkonderbreking 'n lêerstelselbewerking kan blokkeer, en die reconnect-opsie herstel die vervoer sonder om handvatsels te herstel: 'n lêer wat voor die herverbinding oopgemaak is, kan by die volgende skryf misluk, en 'n onderbroke skryf word nie bewaar nie. Daardie onderskeid is die belangrikste vir redigeerders wat een lêer vir ure oop hou. Beplan 'n heropenstap in plaas daarvan om herstel te aanvaar.

Toets die gedrag met weggooilêers voordat jy daarop staatmaak. 'n Gids wat weer verskyn nadat die tonnel terugkeer, bewys nie dat vroeëre handvatsels of ongestoorde werk oorleef het nie.