Partekatze bat Tunnelblick-etik muntatzea root gisa ibili gabe

Irekita jarraitzen duen AppleScript batek Tunnelblick profil bat zaindu eta SMB partekatze bat saioa hasitako erabiltzaile gisa munta dezake, root kakoa edo pasahitzik gabeko sudorik gabe.

VPN bezeroak baimendutako laguntza behar du sarea berriz konfiguratzeko, eta gertaera hori inguruko guztiei aplikatzen zaie zabalegia. Fitxategi partekatze bat muntatzen duen script batek ez du root behar, partekatzea saioa hasitako erabiltzailearen saioko eta erabiltzaile horren kredentzialen parte delako. Muntaketa pribilegiatutako bidetik ateratzeak sudo arauak, root kakoak eta erantsitako aplikazioen aldaketak egiteko beharra ezabatzen du. Geratzen dena irekita jarraitzen duen applet txiki bat da, profil bat zaindu eta saiakera bakarra egiten duena.

Zergatik dagokion hau erabiltzaile saioari

Muntatutako bolumena hura muntatu zuen saioaren propietatea da. Beste erabiltzaile baten saiokoak ez du ikusten, eta root-en jabetzako muntaketa batek Finder-ek sortutakoak ez bezala jokatzen du. Muntaketa erabiltzaile saioan mantentzeak semantika hori gordetzen du.

Laguntzaile pribilegiatuak benetan behar dituzten zatietarako daude: tunel interfaze bat sortzeko, ibilbideak aldatzeko, ebazlea eguneratzeko. SMB partekatze bat muntatzea ez da zati horietako bat. Hori balitz bezala tratatzeak pasahitzik gabeko sudoaren eta inor bertan ez dagoenean exekutatzen den root script baten artean aukeratzera behartzen du. Biak arazoak justifikatzen duena baino arrisku handiagoak dira, eta erabiltzaile saioaren ikuspegiak aukera guztiz saihesten du.

Tunnelblick-en beraren konexio kakoak ez dira hemen ordezko, mahaigaineko saiotik kanpo exekutatzen direlako eta bezeroaren scriptekiko haien ordena zehaztuta ez dagoelako. Egoera erabiltzaile applet batetik galdetzea mekanismo txikiagoa da, suposizio gutxiagorekin.

Frogatu lehenik eskuz partekatzeak funtzionatzen duela

Automatizazioak ezin du existitzen ez den ibilbide, baimen edo konturik eman. Konektatu VPN-a eskuz eta ireki partekatzea Finder-en edozein script idatzi aurretik. Hori huts egiten badu, script-ak modu nahasgarriagoan huts egingo du.

Idatzi script-ak erabiliko dituen hiru balioak: profilaren izena Tunnelblick-ek zerrendatzen duen bezala, partekatzearen URLa eta muntatu ondoren Finder-ek erakusten duen bolumen izena. Bolumen izena garrantzitsua da lehendik dagoen muntaketa baten egiaztapenak hura erabiltzen duelako, eta soilik izenean oinarritutako egiaztapena erosotasun babesa da, ez zerbitzariaren identitatearen froga. Erabili makinan bakarra den izen bat. Ondoren baieztatu zerbitzariak erantzuten duela behintzat.

smbutil view //files.corp.example
osascript -e 'tell application "Tunnelblick" to get state of first configuration whose name is "Office"'
mount | grep -i smbfs

Lehen komandoak zerbitzariak erantzuten duela frogatzen du, bigarrenak profilaren izena ebazten dela, eta hirugarrenak muntaketa arrakastatsu bat nola ikusten den erakusten du. Erregistratu hiruak ezer automatizatu aurretik.

Irakurri profilaren egoera Tunnelblick-etik

Tunnelblick-ek bere konfigurazioak eta haien egoerak AppleScript bidez erakusten ditu, eta hori da diseinu honek behar duen kako bakarra. Axola duen egoera profil zehatz horretarako jakinarazten den katea da, ez aplikazioaren presentzia.

Galdetzeak aipatzeko merezi duen ondorioak ditu. Tarteak baino laburragoa den berrkonexio bat oharkabean pasa daiteke, eta applet-ak ez du trantsizioa batere ikusten. Hori onargarria da muntaketa babesle batentzat eta onartezina gertaera bakoitzari erreakzionatu behar dion edozerrentzat. Gertaeren fideltasuna behar baduzu, hau da mekanismo okerra, eta ez denbora neurgailu laburragoa behar duen mekanismoa. Aukeratu tartea konpromiso hori kontuan hartuta.

property attempted : false

on idle
    set profileName to "Office"
    set shareURL to "smb://files.corp.example/OfficeTeam"
    set volName to "OfficeTeam"
    tell application "Tunnelblick" to set vpnState to state of first configuration whose name is profileName
    if vpnState is not "CONNECTED" then
        set attempted to false
        return 20
    end if
    tell application "Finder" to set mounted to (exists disk volName)
    if (not mounted) and (not attempted) then
        set attempted to true
        try
            mount volume shareURL
        end try
    end if
    return 20
end idle

Esportatu aplikazio gisa irekita egoteko aukerarekin, eta gero abiarazi saioa hasitako saioan sudo erabili beharrean.

Muntatu behin, eta gero utzi saiatzeari

Saiatuta bandera da hau kredentzialak asmatzen dituen begizta bihurtzea eragozten duena. Applet-ak saiatu ondoren, konexioaren egoera aldatzen denera arte itxaroten du berriro saiatu aurretik.

Portaera hori nahita da. Muntatzeari uko egiten dion partekatze batek normalean saiakera berri batek konpondu ezin duen arrazoi batengatik ukatzen du, eta errepikatutako saiakerek eskaera bat horien korronte bihurtzen dute. Bandera berrezarri egiten da profilak konektatutako egoera uzten duenean, beraz berrkonexio erreal batek saiakera berri zehatz bat sortzen du. Applet-atik irten eta berrabiarazteak ere berrezartzen du, eta hori da eskuzko gainidazketa. Bi bideetako batek ere ez du hutsegitea ezkutatzen; biek Finder-en ikusgai uzten dute.

Script-ak ez du pasahitzik eramaten, eta horrela jarraitu beharko luke. Utzi muntaketa eragiketari galdetzen, eta utzi giltza-sortari erakundeak onartzen duena egiten. Kredentzial bat URL batean txertatzeak erosotasun script bat biratu beharreko sekretu bihurtzen du.

Zer ezin duen laguntzaileak egin

Hiru muga merezi dute applet-aren ondoan idaztea. Ezin du bolumen okupaturik kanporatu sareko hutsegite baten ondoren, ezin du bermatu DNSa eta zerbitzaria prest dauden egoerak konektatuta dioenean, eta ez die berrkonexio guztiei erreakzionatzen.

Lehen muga da praktikan garrantzitsuena. Zerbitzaria desagertzen zaion partekatze batek muntatuta dirudien eta sarbidean blokeatzen duen bolumen bat uzten du, eta zuzenketa dotorea fitxategi eragiketak amaitzea eta kanporatzea da deskonexio planifikatu aurretik. Bigarrenak azaltzen ditu lehen saiakera hutsen gehiengoa: tunela altxatuta dago ebazlea oraindik iritsi ez denean, beraz itxaron eta gero muntatu eskuz behin berresteko. Hirugarrena lehengo galdetze konpromisoa da, ez konpondu beharreko akatsa.

Zaindari gabeko makina edo kudeatutako flota batentzat, diseinu honek forma okerra du. Erabili administratzailearen jabetzako muntaketa politika bat mahaigaineko applet bat zerbitzu pribilegiatu bihurtu beharrean.

Erlazionatutako artikuluak