Ez ezazu systemd gogortzea OpenVPNren user jaitsieraren gainean pilatu

Elkarrekin itsatsitako gutxieneko pribilegiozko bi errezetak ez dute hedapen zorrotzago bat ematen. Eredu batek daemonari pribilegioekin hasteko eta hasieratzearen ondoren pribilegiorik gabeko kontu batera jaisteko uzten dio; besteak zerbitzu-kudeatzaileak lehen argibidetik identitate mugatu batean abiarazteko egiten du. Bakoitzak bere kabuz egiten du lan, eta konbinazioak askotan bi lanetatik bat ere garbi egin ezin duen zerbitzua sortzen du. Honekin gainerakoak erabakia ordenan zeharkatzen du.

Bi eredu, aldaketaren jabe bakarra

Lehen eredua daemonarena da. Komunitateko OpenVPN-en user eta group aukerak identitatea aldatzen dute tunela eta giltzak ezarri ondoren, eta persist-key gehi persist-tun baliabide horiek erabilgarri mantentzen dituzte gero.

Bigarren eredua zerbitzu-kudeatzailearena da. systemd-en User= edo Group= ezarpenak prozesua zein identitaterekin abiarazten den erabakitzen du, eta gaitasun-direktibek zer eduki dezakeen erabakitzen dute. Ereduen arteko hautua paketatze-kontua da segurtasun-kontua baino lehenago, eta paketearen mantentzaileak jada erantzun du. Zure lana erantzun hori aurkitzea da, hirugarren aukera bat asmatu beharrean.

Biak legitimoak dira. Akatsa diseinu baten geruza gisa tratatzea da, bigarren ereduak lehenengoaren identitate-aldaketa prozesuak orain egin dezakeen eragiketa bihur baitezake.

Erabaki identitatea non aldatzen den

Unitatea jada kontu dedikatu gisa abiarazten bada, daemonari beste kontu bat izateko jarritako argibideak zerbitzu gogortu batek inoiz egin behar ez zuen setuid trantsizioa eskatzen du. Hutsegitea abiaraztean baimen-errore gisa agertzen da, ez politika-mezu argi gisa. Falta den gaitasun bat dirudi, eta horrek jendea muga-multzo zabalago baterantz bultzatzen du identitatearen galderarantz beharrean.

Irakurri instalatutako paketeak benetan zer ematen duen zerbait editatu aurretik, haren drop-in direktorioa barne. Unitate batzuek nahita uzten dute daemonaren jaitsiera, kudeatzaileak jada hura kudeatzen duelako, eta beste batzuek aukera horien mende daude hasieratze osteko aldaketarako. Biotako edozein kentzea heredatu duzun eredua jakin gabe da funtzionatzen ari den zerbitzu bat abiarazteari uzten dion modua.

Idatzi aukeratutako eredua lerro batean: kudeatzailearen jabetzakoa edo daemonaren jabetzakoa. Ondorengo direktiba bakoitzak esaldi horrekin bat etorri behar du, eta unitate mistoa akats gisa tratatu behar da, ez konpromiso gisa.

Gaitasunak mugak dira, ez emakizunak

Gaitasun-muga-multzo batek prozesuak gehienez zer eduki dezakeen esaten du. Sabai bat da, eta han gaitasun bat zerrendatzeak berez ez du ezer ematen, horregatik muga-multzo oparoa duen unitate batek hala ere tunel bat sortzeko huts egin dezake.

Zerbitzu baten inguruko multzoan gaitasuna benetan jartzen duena hau da: AmbientCapabilities=. systemd exekuzio erreferentzia bi direktibak bereiz dokumentatzen ditu, eta bereizketa horrek azaltzen du sarean gaitasunei buruzko aholku nahasgarrien zatirik handiena.

Gehitu gaitasun bat huts egiten duen eragiketak hura identifikatu ondoren soilik. Muga-multzo zabalagoak benetako kausa ezkutatzen du eta zerbitzua diseinuak nahi baino pribilegio handiagoz uzten du. Unitatea berrikusteko ere zailagoa egiten du, sabaiak jada lana deskribatzen ez duelako. Kendu gehiegizko gaitasuna benetako akatsa konpondu ondoren.

Mapatu autoritatea bizitzako zikloan zehar

Zerrendatu prozesuak etapa bakoitzean zer egin behar duen: abiaraztea, egoera egonkorra, berrautentifikazioa eta desmuntatzea. Interfazea sortzea, ibilbide-aldaketak, giltza babestu bat irakurtzea eta laguntzaile bat deitzea ez dira une berean ezta baldintza berberetan gertatzen. Ordenatu zerrenda etaparen arabera, gaitasunaren arabera ordenatu aurretik.

Iraunkortasun-aukerek baliabideak gordetzen dituzte berriz negoziatzean, eta ez dute inoiz eduki ez den baimenik ematen. Prozesuak abiaraztean irakurri ezin duen giltza irakurgaitza izaten jarraituko du geroago ere, iraunkortasun-banderek esaten dutena esanda ere. Banderek jada funtzionatzen zutenak gordetzen dituzte.

Erabili kontu dedikatu bat partekatu bat beharrean. OpenVPNren garatzaileek nobody adibide orokor gisa erabiltzeko ohituraren aurka egiten dute, ostalarian beste zerbitzu batzuk jada kontu horrekin exekutatzen ari baitaitezke eta uste duzun isolamendua ez baitago hor.

Karga lokala aldatzen duten ezaugarriek, hala nola datu-kanalaren deskarga edo desberdin lotzen den konpilazio batek, behar diren eragiketak alda ditzakete. Berrikusi mapa paketea aldatzen denean, ez soilik zerbait apurtzen denean.

Idatzi plana eta mantendu berreskuratze-sarbidea

Hedapen-erregistro batek kudeatzailea, abiarazte-identitatea, nahi den egoera egonkorreko identitatea eta baimen bakoitza hura eskatzen duen eragiketarekin batera izendatu behar ditu. Erregistro horrek egiten du hurrengo aldaketa berrikusgarri, esperimental ez izateko.

Mantendu kontsola-sarbidea eskuragarri editatzen duzun bitartean, abiaraztean huts egiten duen unitate bat urrunetik konpontzea zaila baita. Probatu berrabiarazte bat eta berrabiarazte oso bat aldaketa amaitutzat eman aurretik. Berrabiaraztea gainditzen duen unitate batek huts egin dezake sareak gor egin aurretik.

Arrakasta autoritate minimoko bizitza-ziklo ulertua da, ez root ez den izen batekin exekutatzen ari den prozesua.