sudo, &, -b aŭ --daemon: kiel foni OpenVPN-klienton

En la frazo «ruligu ĝin en la fono» kaŝiĝas du demandoj. La unua estas, ĉu ĉi tiu uzanto entute rajtas lanĉi privilegian procezon; la dua estas, ĉu la sesio povas daŭri sen ke iu tajpu en terminalon. Ŝela ampersando respondas al neniu el ili, kaj skripto, kiu konservas sudo-pasvorton en variablo, respondas malbone al la unua kaj lasas la duan netuŝita. Apartigu ilin kaj la opcioj fariĝas facile kompareblaj.

Komparu la tri kandidatojn laŭ posedo, ne laŭ komforto.

Tri manieroj forlasi la terminalon, tri malsamaj posedantoj

Aldoni ampersandon al komando petas al la ŝelo ruli ĝin kiel fonan taskon, kaj la tasko ankoraŭ apartenas al tiu ŝelo. sudo povas demandi antaŭ ol la programo eĉ ekas, kaj OpenVPN povas poste demandi pri ŝlosilfrazovorto aŭ salutado. Foni komandon, kiu atendas enigon, produktas procezon atendantan terminalon, kiun neniu observas. La terminalo liberiĝas; la interagado ne.

Tiu estas la plej malmultekosta opcio kaj la plej konfuze malsukcesanta, ĉar la invito aperas en loko, kiun la operatoro jam forlasis.

sudo -b ne estas identigilaĵa administranto

sudo -b rulas la komandon en la fono el la vidpunkto de sudo mem, kio sonas kiel la mankanta funkcio kaj ne estas. Laŭ la manlibro de sudo, interagaj komandoj ĝenerale miskondutas en tiu reĝimo, kaj la ŝela laborregado ne povas administri la procezojn, kiujn ĝi kreas. Ĝi movas la procezon sen doni al ĝi manieron respondi demandojn. Nenio en ĝi provizas ŝlosilfrazovorton de privata ŝlosilo aŭ salutadon al pordego.

Se la konekto bezonas interagadon, la solvo estas subtenata neinteraga aŭtentikiga aranĝo, ne alia maniero lanĉi la saman inviton.

--daemon ŝanĝas la programon, ne la salutadon

--daemon petas al OpenVPN mem sendependiĝi post pravalorigo. La manlibro por 2.6 rimarkigas, ke la syslog-alidirektado okazas kiam la opcio estas analizata, kvankam la sendependiĝo okazas poste, do mesaĝoj povas ĉesi aperi en la terminalo pli frue ol atendite. Silento post tiu punkto pruvas nenion pri la tunelo. Aldonu eksplicitan --log aŭ --log-append por ke la eligo alvenu ie, kion vi povas legi.

La demona reĝimo ankaŭ forigas la konsolon por ĉiam. Protektita privata ŝlosilo bezonas askpass en tiu reĝimo, kaj konsolaj identigilaĵoj kune kun kaŝmemoraj opcioj povas lasi postan reaŭtentikigon sen loko por demandi. Kontrolu la aŭtentikigan modelon kontraŭ la instalita versio antaŭ ol supozi, ke fona starto postvivos sian unuan ŝlosilrenovigon.

Kion sudo-validigo aĉetas kaj kion ne

sudo -v validigas aŭ refreŝigas la kaŝmemoritan lokan identigilaĵon, aŭtentikante se la politiko tion postulas. Ĝi ne startigas OpenVPN, ne aŭtentikas al la pordego kaj ne garantias, ke posta komando en la skripto estos permesita. sudo -n signifas la malon: ne demandu, malsukcesu anstataŭe. Tio igas lokan rajtigan malsukceson eksplicita, kio utilas, kaj ĝi diras nenion pri tio, kion OpenVPN poste petos.

Neniu el la opcioj estas kialo doni senlimajn pasvortajn komandojn aŭ enigi administran pasvorton en skripton.

Preferu posedanton, kiun eblas observi

Por maŝine posedata tunelo, uzu la servan instancon, kiun la distribuo subtenas. Tia posedanto provizas starton, halton, staton kaj protokolojn, kaj ĝi postvivas la finon de via sesio. Kunmeti ŝelan fonadon, demonigadon kaj restartan buklon unu ĉirkaŭ la alia kreas tri posedantojn por unu tunelo kaj neniun klaran respondon, kiu el ili funkcias.

Kion ajn vi elektos, kontrolu la rimedon, por kiu la tunelo ekzistas. Sukcesa starta peto estas proceza evento, ne pruvo de funkcianta konekto.