CA ar y cyd, drysau ar wahân: un gwasanaeth fesul ffeil dderbyn

Mae tystysgrif sy’n dilysu yn erbyn awdurdod ar y cyd wedi pasio prawf o ymddiriedaeth, nid prawf o aelodaeth. Mae’r ddau benderfyniad hyn yn cael eu cyfuno’n aml oherwydd bod y ddau’n digwydd ar adeg cysylltu, ac mae’r cyfuniad yn aros yn anweledig nes bod rhywun na ddylai fod ar wasanaeth yn cael ei dderbyn iddo. Nid awdurdod arall yw’r atgyweiriad; penderfyniad arall yw, a wneir fesul gwasanaeth ac a gofnodir lle mae’r daemon yn ei ddarllen. Cadwch y ddau ar wahân a bydd y rhan fwyaf o’r dryswch yn y maes hwn yn diflannu.

Nid yw cadwyn ddibynadwy yn dweud dim am aelodaeth gwasanaeth

Gall dau wasanaeth dderbyn yr un hierarchaeth gyhoeddi ac eto gael poblogaethau gwahanol. Mae un gliniadur yn perthyn i’r cyntaf ac ni ddylai gyrraedd yr ail, tra bod cleientiaid eraill o’r un hierarchaeth yn perthyn yno. Byddai tynnu’r awdurdod o’r gwasanaeth hwnnw’n cloi allan bawb sy’n ei ddefnyddio’n gyfreithlon, felly derbyn yw’r gwaith, nid ymddiriedaeth.

Mae’n helpu dychmygu dau glo ar un drws. Mae’r dystysgrif yn agor y clo allanol, ac mae penderfyniad fesul gwasanaeth yn agor yr un mewnol; nid yw’r naill yn cymryd lle’r llall. Nid yw gwasanaeth â’r clo allanol yn unig yn gorfodi aelodaeth o gwbl, dim ond dilysu y mae. Ysgrifennwch y ddau benderfyniad cyn newid unrhyw beth, oherwydd ni ellir archwilio polisi sy’n bodoli yn unig ar ffurf cysylltiad gweithredol. Mae’r hyn sy’n dilyn yn ymwneud â’r clo mewnol.

Trowch drosysgrifiadau dewisol yn borth derbyn

Mae cyfeiriadur cyfluniad cleient fel arfer yn gyfleuster: mae ffeiliau ynddo’n trosysgrifo gosodiadau’r cleientiaid a enwir ganddynt, ac mae cleient heb ffeil yn rhedeg gyda rhagosodiadau’r gweinydd. Mae un gyfarwyddeb yn troi’r cyfleuster hwnnw’n borth, fel bod ffeil absennol yn golygu bod y cysylltiad yn cael ei wrthod.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Mae’r rhifyn cymunedol o OpenVPN 2.6 ccd-exclusive yn ei dudalen lawlyfr yn dogfennu’r union amod hwn, ac mae’r chwiliad am y ffeil enwir yn dibynnu ar hunaniaeth effeithiol y cleient. Gall adeilediadau eraill a gweinyddwyr a reolir gan gynnyrch fod yn wahanol, felly cadarnhewch y fersiwn sydd wedi’i osod cyn dibynnu ar yr un semanteg mewn man arall.

Trinnwch y llwybr uchod fel enghraifft a gwirio’r cynllun a osodwyd yn lle creu cyfeiriadur a fathwyd gan ganllaw. Gadewch y gwiriadau tystysgrif presennol, gwiriadau hunaniaeth gweinydd a dilysu cyfrif yn union fel yr oeddent, oherwydd mae’r darn yn ychwanegu amod ac yn tynnu dim. Paratowch y newid cyn cynhyrchu, gan fod gwrthodiad a godir ar y pwynt anghywir yn edrych fel methiant tystysgrif ac yn anfon yr ymchwiliad at yr awdurdod. Yna cadarnhewch fod llinell y cofnod ar gyfer cleient a wrthodwyd yn enwi’r ffeil gyfluniad sydd ar goll yn hytrach na’r gadwyn.

Un cyfeiriadur fesul gwasanaeth, nid un rhestr ar y cyd

Mae aelodaeth yn perthyn i’r gwasanaeth sy’n ei gorfodi, felly mae pob gwasanaeth yn cadw ei gyfeiriadur a’i ffeiliau ei hun. Mae pwyntio dau wasanaeth at un rhestr yn gwneud iddynt rannu aelodaeth p’un a oedd rhywun yn bwriadu hynny ai peidio, ac mae’n anodd olrhain y newid canlyniadol yn ôl i benderfyniad. Gall yr awdurdod ar y cyd aros ar y cyd; ni all y ffeiliau derbyn. Mae eu cadw ar wahân hefyd yn golygu na all camgymeriad mewn un gwasanaeth ehangu un arall yn dawel.

Cofnod DEFAULT yw’r achos sy’n camarwain pobl. Mae’n darparu gosodiadau wrth gefn pan na cheir ffeil enwir, ond nid yw’n ffeil enwir y mae’r borth yn ei mynnu, felly ni all dderbyn cleient ar ei ben ei hun. Profwch gleient heb unrhyw gofnod o gwbl a chadarnhau’r gwrthodiad; os derbynnir y cleient hwnnw, mae’r gefnlen yn cael ei chymhwyso ac ccd-exclusive nid yw’n weithredol yn y corff hwnnw.

Mae’r hunaniaeth effeithiol yn penderfynu pa ffeil a ddarllenir

Mae’r chwiliad yn defnyddio’r hunaniaeth y gwnaeth y cleient ei dilysu â hi mewn gwirionedd, sef fel arfer enw cyffredin y dystysgrif. Pan fo’r gweinydd hefyd yn gwirio enw defnyddiwr a chyfrinair ac yn mapio’r enw hwnnw i’r enw cyffredin, rhaid i’r ffeil gyfateb i’r enw defnyddiwr dilysedig yn lle hynny. Mae anghysondeb yn gadael cyfeiriadur yn llawn enwau ffeil credadwy na chânt eu dewis byth.

Darllen yw’r hanner arall. Mae’r daemon fel arfer yn gollwng breintiau ar ôl cychwyn, felly mae angen mynediad darllen i’r cyfeiriadur a phob cofnod ynddo ar y cyfrif llai. Rhaid na all cleientiaid greu eu cofnod eu hunain trwy unrhyw lwybr y gellir ysgrifennu iddo, oherwydd mae derbyn hunangymorth yn trechu’r mecanwaith yn gyfan gwbl. Gwiriwch y caniatâd mowntio a rhannu ac nid modd y ffeil yn unig, gan y gall cyfeiriadur sy’n edrych yn gaeëdig i un cyfrif fod yn agored i un arall. Yna cadarnhewch pa gyfrif y mae’r broses sy’n rhedeg yn ei ddefnyddio mewn gwirionedd, yn hytrach na pha gyfrif y mae’r ffeil uned yn ei grybwyll. Mae’r ddau’n gyfartal yn unig pan nad oes dim arall wedi’u newid.

Arsylwch wrthodiad, derbyn ac adalw ar wahân

Rhowch gynnig ar hunaniaeth sy’n perthyn i’r gwasanaeth a chadarnhau ei bod yn cysylltu. Rhowch gynnig ar dystysgrif ddilys heb gofnod a chadarnhau ei bod yn cael ei gwrthod. Rhowch gynnig ar hunaniaeth a dderbyniwyd i’r gwasanaeth arall a chadarnhau nad yw’n cael ei derbyn yma. Cofnodwch enghraifft y gwasanaeth a’r hunaniaeth effeithiol wrth bob canlyniad, oherwydd ni all neb arall atgynhyrchu canlyniad heb y cyd-destun hwnnw.

Mae tynnu’n ôl yn weithrediad ar wahân i adalw. Mae golygu ffeil dderbyn yn tynnu hawl un gwasanaeth tra bod yr hunaniaeth yn parhau’n ddilys ym mhobman arall, tra bo allwedd sydd wedi’i chyfaddawdu angen ymateb adalw’r sefydliad. Penderfynwch ymlaen llaw beth sy’n digwydd i sesiynau sydd eisoes ar waith, gan nad yw golygu cyfeiriadur na rhestr adalw yn dod â hwy i ben ar eu pen eu hunain.

Dim ond y borth gyntaf yw derbyn hefyd. Nid yw ymuno â gwasanaeth yn dweud dim am yr is-rwydweithiau, cronfeydd data neu ryngwynebau rheoli y tu ôl iddo, a rhaid ysgrifennu a phrofi’r polisi adnoddau hwnnw ar wahân.