Zer gainditzen dute benetan persist-tun eta persist-key aukerek OpenVPN-n
Bi aukerek prozesu biziko berrabiarazte bigun bat estaltzen dute. Ez dute interfazea gordetzen gelditu ondoren, eta ez dira trafikoa blokeatzeko politika bat.
Zerbitzua gelditzeak interfazea kentzen du persist-tun ezarrita egonda ere. Hori da aukera dokumentatuta dagoen bezala funtzionatzen ari dela, ez huts egiten. Aukerak prozesu batean zehar berrabiarazte-bide bat deskribatzen du, eta systemctl stop ez da bide hori.
Irakurri bi izenak elkarrekin eta diseinua argi geratzen da. Batek deskriptore bat gordetzen du, besteak gako-materiala gordetzen du, eta biak existitzen dira pribilegioak utzi ondoren gertatzen denagatik.
Bi baliabideak eta haiei dagokien berrabiaraztea
OpenVPN bere berrabiaraztea seinalatzen du ohiko bi egoeratan. SIGUSR1 esplizitu batek egiten du, eta pare bat hildako batek eragindako ping-restart batek gauza bera egiten du. Biek prozesua bizirik uzten dute eta konexio-konfigurazioa berriro exekutatzen dute, eta han irabazten dute aukerek beren lekua.
| Event | TUN/TAP device | Key and auth files | Addresses and routes | up/down hooks |
|---|---|---|---|---|
Soft reset, from SIGUSR1 or from a ping-restart the daemon sends itself | survives only with persist-tun | survive only with persist-key | survive with the device, otherwise rebuilt | run again only when restart hooks are enabled |
Configuration reload, SIGHUP | recreated | re-read from disk | rebuilt once the device returns | run again |
| Service stop | lost | re-read at the next start | removed | run at the next start |
Berrabiarazte bigunaren ilara soilik aldatzen dute bi aukera hauek, eta saltatzen duten lana esteka lanpetu bateko zati garestia da. Gailu bat berriro irekitzeak hari erantsitako helbideak eta ibilbideak eraisten ditu, eta haiek berreraikitzeak berrabiaraztea hasi zenean bidean zeuden paketeak galtzea ekar dezake. Gelditzeak objektu berberak suntsitzen ditu haiek gordetzeko aukerarik gabe.
Zergatik dauden aukerak batere
OpenVPN zerbitzari gogortu bat normalean root gisa abiatzen da, bere gakoak eta gailua irekitzen ditu, eta gero pribilegiorik gabeko erabiltzaile batera jaisten da. Jaitsiera horren ondoren, eragiketa batzuk besterik gabe desagertu dira. 0600 moduko gako-fitxategia irakurtzea, sare-interfaze bat sortzea edo ibilbideak aldatzea ukatuta gera daiteke.
persist aukerarik gabe, ping-restart abiarazteko adina isil egoten den pare batek eragiketa horiek behartuko lituzke. Berriz konektatzeak huts egingo luke konfigurazioan ezer aldatu ez bazen ere. Prozesua arrazoirik gabe hiltzen ari balitz bezala ikusiko litzateke, eta erregistroak baimen-errorea erakutsiko luke sare-errorea beharrean.
Haiekin, berrabiarazte bigunak pribilegiodun faseak jada lortu duena berrerabiltzen du. Ez dago magiarik eta prozesuak ez du ezer gainditzen. Baliabideen eskuratzea atzeratzen da soilik.
Irakurri lehen errorea, ez azkena
Berrabiarazte batek huts egiten duenean, irakurri lehen errorea azkenaren ordez. Gako babestu bat, auth fitxategi bat, interfaze-ioctl bat eta kanpoko kako bat lau baliabide desberdin dira. Bat mantentzeak ez du ezer esaten besteetarako sarbideari buruz. Firewall tresna bat deitzen duen kako batek tresna horrek eskatzen dituen pribilegioak behar ditu oraindik.
Kakoek beren etengailua dute. OpenVPN eskuliburuak persist aukerak up-restart-rekin parekatzen ditu, eta horrek erabakitzen du up eta down scriptek berrabiaraztearen ondoren berriro exekutatu behar duten. Beraz, zutik geratu den interfaze batek ez dizu ezer esaten zure resolver integrazioa freskatu den ala ez.
# which restart path just happened?
journalctl -u openvpn-client@office --since '10 min ago' | grep -E 'SIGUSR1|ping-restart|Restart pause|NOTE:'
# did the interface survive, and do its routes still exist?
ip -brief link show tun0
ip route show dev tun0Komando pare horrek bi hutsegite-moduak segundoetan bereizten ditu. Ibilbideak falta dituen interfaze bat kako edo ibilbide arazoa da. Desagertu den interfaze batek prozesua benetan amaitu dela esan nahi du.
Mantendutako interfazea ez da kill switch bat
Baldintza trafikoak inoiz tunelatik kanpora atera behar ez badu, mantendutako gailu batek ez du hori ematen. Beste helbide-familiako ibilbideak, bigarren ibilbide lehenetsi bat eta prozesua osorik irteten den kasua aukeraren esparrutik kanpo geratzen dira.
Tratatu bi baldintzak bereizita. Tunel objektua berriz konektatzeen artean mantentzea daemonarentzako erosotasuna da. Irteera blokeatzea tunela behera dagoenean bere arau eta proba propiodun firewall politika bat da. Biak nahasteak defentsiboa dirudien eta ahalegin oneneko berriz konektatze gisa jokatzen duen konfigurazioa sortzen du.
Izenda ezazu gertaera diagnostikatu aurretik. Berrabiarazte bigun bat, konexio-saiakera huts bat eta zerbitzu gelditze bat hiru portaera dituzten hiru gertaera dira, eta lehenengoa soilik da aukera hauek deskribatzen dutena.