A ddylai sesiwn y defnyddiwr fod yn berchen ar y mownt SSHFS dros VPN?

Mae mowntio ffolder a rennir ar ôl i'r VPN godi yn cynnwys dau hunaniaeth sy'n hawdd eu cymysgu: y gydran a ganiateir i ffurfweddu'r rhwydwaith, a'r cyfrif a ganiateir i fewngofnodi i'r gweinydd ffeiliau. Anaml y byddant yr un peth. Mae bachyn VPN sy'n eiddo i root yn lle gwael i ddechrau mownt SSHFS defnyddiwr bwrdd gwaith, oherwydd nid oes ganddo asiant y defnyddiwr na pherchnogaeth y mownt a fwriadwyd. Mae cael perchnogaeth yn iawn yn gyntaf yn gwneud y sbardun yn syml.

Dau hunaniaeth, dau ganiatâd ar wahân

Mae angen breintiau ar glient VPN i newid llwybrau a rhyngwynebau. Mae angen hunaniaeth SSH y mae'r gweinydd ffeiliau yn ei derbyn ar fownt SSHFS, a mownt FUSE sy'n eiddo i'r cyfrif a fydd yn darllen y ffeiliau. Mae un sgript yn rhedeg fel root yn bodloni'r gofyniad cyntaf ac yn torri'r ail yn dawel.

Mae mowntio fel root yn gadael y ffeiliau y tu allan i sesiwn y bwrdd gwaith ac o bosibl heb fynediad at yr asiant sy'n dal allwedd y defnyddiwr. Mae'r mownt yn bodoli, ni all y defnyddiwr ysgrifennu drwyddo, ac mae'r methiant yn edrych fel problem caniatâd ar ochr y gweinydd. Mae'r camddiagnosis hwnnw'n costio prynhawn a thocyn i'r tîm storio.

Penderfynwch pa gyfrif sy'n berchen ar y mownt cyn ysgrifennu unrhyw awtomeiddio, oherwydd mae'r dewis hwnnw'n pennu ble mae'r sbardun yn byw a pha gymwysterau y gall eu cyrraedd.

Sefydlwch fownt sy'n eiddo i'r defnyddiwr â llaw yn gyntaf

Dechreuwch gyda defnyddiwr sydd wedi mewngofnodi â phwynt mowntio gwag, cyfrif SSH awdurdodedig a llwybr gweithio i'r gweinydd trwy'r twnnel. Mae mownt â llaw yn sefydlu'r llinell sylfaen y mae'n rhaid i unrhyw awtomeiddio ei hatgynhyrchu.

mkdir -p "$HOME/mnt/team"
sshfs [email protected]:/exports/team "$HOME/mnt/team"
mount | grep sshfs

Mae'r enwau'n enghreifftiau, felly disodlwch y gwesteiwr a'r llwybr allforio y mae eich gweinydd yn eu cynnig mewn gwirionedd. Dilyswch allwedd y gwesteiwr trwy'r broses gymeradwy ar y cysylltiad cyntaf hwnnw. Sylwch nad yw cyfrinair cyfrif VPN yn awtomatig yn gymhwyster cyfrif y storfa, ac mae hynny'n achos cyffredin o ymdrechion aflwyddiannus.

Rhedwch ef fel defnyddiwr arferol â phwynt mowntio sy'n eiddo i'r defnyddiwr hwnnw. Yn ôl y rhagosodiad dim ond y cyfrif sy'n mowntio sy'n cyrraedd y ffeiliau, ac mae allow_other yn ehangu'r ffin honno i bob defnyddiwr lleol. Mae hynny'n ehangu mynediad yn fwriadol, nid yn ffordd o osgoi awtomeiddio.

Gadewch i'r sbardun weithredu yn yr un cyd-destun sesiwn

Gadewch i'r integreiddiad digwyddiadau VPN a gefnogir ofyn i weithred sesiwn defnyddiwr redeg, yn lle tybio y gall callback breintiedig fenthyca cymhwyster bwrdd gwaith. Cyfyngwch y sbardun i'r dynodydd cysylltiad a fwriadwyd yn hytrach nag i unrhyw ryngwyneb sy'n digwydd cael ei alw'n tun0. Mae rheol anfonwr sy'n cyfateb i'r peth anghywir yn tanio ar bob newid rhwydwaith, gan gynnwys rhai heb ddim i'w wneud â'r mownt hwn.

Dylai'r weithred gadarnhau'r enw gwesteiwr disgwyliedig, sylwi ar fownt sy'n bodoli, a gwneud un ymgais gyfyngedig. Mae dolen holi sy'n cychwyn proses SSHFS newydd bob ychydig eiliadau, neu'n ailgynnig anogiad cymhwyster tra bo'r gweinydd i lawr, yn troi diffyg byr yn bentwr o brosesau wedi glynu. Cyfyngwch yr ymgais ag amserlen a chydag un ailgynnig.

nmcli -g UUID connection show --active
systemctl --user list-units 'sshfs*'
pgrep -a sshfs

Mae'r gorchymyn cyntaf yn rhoi'r dynodydd cysylltiad y dylai'r anfonwr gyfateb iddo. Mae'r ddau arall yn dangos a yw ymgais eisoes yn rhedeg, a dyna'r gwiriad sy'n atal dyblygiadau.

Mae angen cymwysterau cymeradwy ei hun a threfniant dilysu gwesteiwr ei hun ar wasanaeth heb oruchwyliaeth yn ei gyd-destun gweithredu ei hun. Ni all dybio bod asiant graffigol heb ei gloi, ac ni ddylai geisio datgloi un.

Cynlluniwch y datgysylltiad cyn gorfodi'r glanhau

Ar gyfer datgysylltiad wedi'i gynllunio, gorffennwch y gweithrediadau ffeil a dadfowntiwch o lif gwaith y defnyddiwr sy'n mowntio ei hun. Targedwch y pwynt mowntio yn hytrach na'r broses, a chadarnhewch y canlyniad cyn adrodd am lwyddiant.

fusermount3 -u "$HOME/mnt/team"
mountpoint "$HOME/mnt/team"

Dadfowntiwch yn unig y mownt a grëwyd gan y llif gwaith hwn. Os yw'n brysur, penderfyniad cymhwysiad yw hynny: mae datgysylltiad gorfodol sy'n bodoli i wneud i fachyn ddychwelyd llwyddiant yn cuddio colli data yn lle ei atal.

Mae colled annisgwyl yn ymddwyn yn wahanol. Mae SSHFS yn dogfennu y gall ymyrraeth rwydwaith rwystro gweithrediad system ffeiliau, ac mae'r opsiwn reconnect yn adfer y cludiant heb adfer dolenni: gall ffeil a agorwyd cyn yr ailgysylltu fethu ar y sgwrs nesaf, ac ni chedwir sgwrs a dorrwyd. Mae'r gwahaniaeth hwnnw'n bwysicaf i olygyddion sy'n cadw un ffeil ar agor am oriau. Cynlluniwch gam ailagor yn lle tybio adferiad.

Profwch yr ymddygiad gyda ffeiliau tafladwy cyn dibynnu arno. Nid yw cyfeiriadur sy'n ailymddangos ar ôl i'r twnnel ddychwelyd yn profi bod dolenni cynharach neu waith heb ei gadw wedi goroesi.