Gosodiadau OpenVPN y llwybrydd yn dychwelyd ar ôl ailgychwyn: trwsiwch y generadur

Yn aml mae cadarnwedd ar lwybrydd defnyddwyr neu NAS yn ailadeiladu ei chyfluniad OpenVPN ar bob cychwyn, felly mae cyfarwyddeb a ychwanegwch yn goroesi yn union tan y cychwyn nesaf. Mae'r un peth yn wir am allweddi a deipiwyd mewn ffurflen we, lle gall y gwerth a storiwyd ddod yn ôl wedi'i lygru ar ôl cadw. Nid yw'r un o'r symptomau hyn yn golygu bod y newid wedi'i wrthod. Mae'n golygu bod y golygiad wedi glanio mewn ffeil y mae'r gadarnwedd yn ei thrin fel allbwn, a bod y man parhaol un cam yn gynharach yn nilyniant y cychwyn.

Pam mae'r ffeil a olygwyd yn cael ei hailgynhyrchu

Mae sgript gychwyn yn cydosod cyfluniad y gweinydd o dempled ac yna'n lansio'r daemon, sy'n gwneud y ffeil a rendrwyd yn arteffact adeiladu yn hytrach nag yn ffynhonnell. Mae unrhyw beth a ychwanegir ar ôl cychwyn yn anweledig i rediad nesaf y sgript honno. Mae'r ail batrwm yn fwy cynnil: mae mewnbynnau allwedd a thystysgrif yn y rhyngwyneb gwe yn cael eu storio ar ffurf wedi'i dianc, a gall cadw'r ffurflen wthio'r testun dianc hwnnw i'r ffeil y mae'r daemon yn ei darllen. Naill ffordd neu'r llall, y cyfluniad a rendrwyd yw'r lle anghywir i wneud newid parhaol.

Edrychwch ar yr hyn y mae dilyniant y cychwyn yn ei ysgrifennu a phryd. Bron bob amser, sgript yng nghyfeiriadur init neu awtogychwyn y gadarnwedd yw'r ateb.

Mewnosodwch y gyfarwyddeb lle mae'r sgript yn adeiladu'r ffeil

Mae dyfeisiau QTS yn ailgynhyrchu cyfluniad gweinydd OpenVPN y tu mewn i'r sgript init sy'n cychwyn y daemon, felly rhaid i'r golygiad ddigwydd yno. Ychwanegwch yr atodiad yn union cyn y gorchymyn cychwyn yn lle golygu'r ffeil a gynhyrchwyd.

sed -i '/daemon_mgr/i echo client-config-dir clientconfig >>/etc/openvpn/server.conf' /etc/init.d/vpn_openvpn.sh
grep -c client-config-dir /etc/openvpn/server.conf

Angorwch y mewnosodiad ar orchymyn na fydd yn symud, oherwydd mae rhifau llinell yn symud rhwng adeiladau. Gan fod y sgript init ei hun yn cael ei disodli yn ystod cychwyn, rhaid ailgyhoeddi'r newid o fach awtogychwyn y gadarnwedd bob tro y bydd y system yn cychwyn. Ar ôl un ailgychwyn, cyfrifwch y digwyddiadau yn y ffeil a gynhyrchwyd: mae un llinell yn golygu bod y clwt wedi gweithio, tra bod dwy yn golygu bod y bach yn rhedeg fwy nag unwaith. Ymchwiliwch i'r rhediad dwbl ar wahân, oherwydd nid yr un methiant yw hwnnw â newid a ddiflannodd.

Trwsiwch ffurflen a storio allweddi wedi'u dianc

Ar dudalennau ar batrwm Asus mae'r meysydd tystysgrif ac allwedd yn dangos testun wedi'i ddianc, a gall cadw ar ôl addasiad digyswllt ysgrifennu'r endidau hynny yn ôl i'r disg. Gweithiwch o gopi wedi'i ddatgodio a chadwch unwaith yn unig, ar ôl i bob golygiad fod yn barod.

openssl dhparam -out dh2048.pem 2048
grep -n "BEGIN DH PARAMETERS" dh2048.pem

Wrth gyfnewid set barametrau newydd, gludwch y llwyth base64 yn unig os yw'r label yn gofyn am gorff yr allwedd, a chedwch y llinellau arfwisg yn unig pan fydd y maes yn disgwyl bloc PEM cyflawn. Mae adfer tudalen sydd eisoes wedi'i chadw ar ei ffurf ddianc fel arfer yn golygu clirio'r mewnbynnau yr effeithiwyd arnynt a chymhwyso, sy'n gadael i'r gadarnwedd eu hadeiladu eto. Cynhyrchwch unrhyw beth dros 2048 did ar weithfan, oherwydd mae cyflenwad entropi'r llwybrydd yn gwneud y gweithrediad yn araf ac weithiau'n annibynadwy. Storiwch y ffeil barametrau yn rhywle y gallwch gyrraedd ati ar ôl ailosod ffatri.

Ailwirio ar ôl uwchraddio

Mae diweddariadau cadarnwedd yn disodli sgriptiau init a gallant ddileu'r cyfeiriadur awtogychwyn, felly rhaid ailosod a phrofi'r clwt eto. Cymharwch y ffeil a ailddawyd gyda'r copi a gadwoch a chadarnhau bod y gyfarwyddeb yn bresennol unwaith yn union. Nid yw gwerth sy'n weladwy yn y rhyngwyneb gwe yn brawf bod y daemon wedi'i dderbyn, oherwydd mae'r dudalen yn darllen meysydd a storiwyd. Ysgrifennwch orchymyn y clwt a fersiwn y gadarnwedd yn y nodiadau cynnal a chadw fel bod y diweddariad nesaf yn eu cario ymlaen.

Yna cysylltwch gleient a darllenwch log y gweinydd am yr opsiwn a wthiwyd. Mae gosodiad nad oedd erioed ond mewn ffurflen yn osodiad nad oes neb wedi'i brofi.