Chroot-a utzi ala iproute2 kartzelara kopiatu behar duzu?
Kartzelia osatugabea badago, abioaren ostean huts egiten du, ez boot-ean. Aukeratu gogortzea arintzea edo binarioak eta liburutegiak erro berrian kopiatzea.
Zerbitzua abiatzen da, bezero bat elkartzen da, eta inoiz ez da biderik agertzen zerbitzariaren aldean. Edo daemon-ak abiatzeari uko egiten dio eta exekutatu ezin izan zuen komando bat izendatzen du. Bi emaitzek hiru lerro berberak jarraitzen dituzte, normalean gogortze-gida batetik batera kopiatuak: pribilegiorik gabeko kontu batera pasatzea, taldea uztea eta fitxategi-sistemaren erroa aldatzea. Hiruretatik bakarra ezkutatzen ditu fitxategiak, eta horietako bakarra da bideratze-taula aldatzeko pribilegioa kentzen duena. Horiek bereiztea da benetan zein lerro nahi duzun ikasteko modua.
Kartzelak zer kentzen dion daemon-ari oraindik behar duena
Erroaren aldaketa abioaren ostean gertatzen da, beraz daemon-ak irekita zeukan guztia mantentzen du eta geroago irekiko lukeen guztia galtzen du. Une horretatik aurrera konexioak exekutatzen duen laguntzaile orok erro berriaren barruan egon behar du, kargatzen dituen liburutegi partekatuekin batera. Konfigurazio-fitxategi batekin eta ziurtagiri batekin eraikitako kartzelak ez du bietako bat ere.
Pribilegiorik gabeko kontu batera pasatzea murrizketa bereizia da. Root-i uko egin dion prozesu bat agian ez da gai bideak aldatzeko edo interfaze bat altxatzeko, binarioa bertan egon arren, beraz bi hutsegiteak bereiz diagnostikatu behar dira.
Hiru baldintzak erabakitzen dute zein konponketa behar duzun
Lehen baldintza zure eraikuntzak bideak nola instalatzen dituen da. Azken OpenVPN bertsioek interfazea eta bideratze-taula prozesuaren barruan konfiguratzen dituzte, eta pakete zaharrek eta konfigurazio propioek kanpoko tresnetan edo up eta down script-etan oinarritzen dira. Erregistroak komando bat izendatzen badu, kanpoko tresna bat dago tartean eta kartzelak ezkutatu egiten du. Erregistroak baimen-errore bat erakusten badu, berriz, kontua da arazoa.
Bigarrena mantentze-lana da. Binario kopiatuak dituen kartzela pakete hornitzailea eguneratzen den bakoitzean freskatu behar da, bestela lehen eguneraketak tunel hautsia uzten du atzean. Hirugarrena da kontrol jakin batek chroot bat benetan behar duen ala ez; baldintza pribilegioen bereizketari buruzkoa bada, kontu-aldaketak berak nahikoa izan daiteke.
| Signal in the log | Other side of the boundary | Repair direction |
|---|---|---|
| Command not found after startup | Binary and its libraries absent inside the new root | Populate the jail, or drop the chroot line |
| Operation not permitted | Account lost the privilege to edit routes | Keep the account privileged, or pre-create routes elsewhere |
| No such device | Jail lacks the tun device node | Create the node inside, or open it before the root change |
Kartzelak zer eduki behar duen funtzionatzeko
Komandoak exekutatzen dituen kartzelak binarioa behar du, estekatzen zaizkion liburutegi guztiak eta daemon-ak berandu irekitzen duen edozein gailu-nodo. Kopiatu piezak eta probatu VPN-a irudian jarri gabe:
ldd /usr/sbin/ip
chroot /etc/openvpn/jail /sbin/ip route show
chroot /etc/openvpn/jail /sbin/ip link set tun0 upLehen komandoak mendekotasunak zerrendatzen ditu, eta jendeak saltatzen duena da. Liburutegi bat aurkitzen ez duen binario kopiatu batek huts egiten du falta den binario baten mezua ez den beste mezu batekin, eta biak OpenVPN-aren hutsegitea ematen dute bezeroaren aldetik irakurrita. Komandoa kartzelan eskuz exekutatzeak hutsegitea berrasmatzen du zerbitzua berrabiarazi gabe.
Kopiatu konfigurazioa, ziurtagiriak eta edozein CRL ere kartzelara, abioaren ondoren berriro irakurtzea espero duen fitxategia ez baita aurkituko erroa aldatu ondoren. Idatzi kopiatu duzuna, sare-paketearen hurrengo eguneraketak jatorrizkoak ordezkatzen baititu eta kartzela kopia zaharrean uzten.
Gogortzea txikitzea horren ordez
Kartzela gida batek hala esan duelako bakarrik badago, lerro bakarra kentzea eta kontu-murrizketak mantentzea defendagarria da. Daemon-ak bere fitxategi-sistema ikuspegia mantentzen du eta arazoa galtzen du, eta pribilegioen jaitsierak root kentzen dio oraindik bizitza luzeko prozesuari.
Idatzi zer geratzen den, eta zergatik. Kontrol bat isilpean galdu duen konfigurazio batek oharrik gabe, horrela desbideratzen da gogortzea, eta hurrengo auditoretzak galdetuko du zergatik desagertu zen lerroa.
Zatitu hiru lerroak aukeratu aurretik
Kopiatu konfigurazioa, desgaitu hiru direktibak eta berretsi bezero bat konektatzen dela eta espero diren bideak agertzen direla. Ondoren piztu berriro kontu-lerroak soilik, eta gero chroot-a bakarra. Tunela hausten den urratsak muga adierazten du, eta inoiz kausa izan ez zen kartzela bat berreraikitzea saihesten duzu.
Berriro bideratzen duenean, exekutatu bezero-saio bat verbositate handiagoarekin eta irakurri komandoa edo huts egindako baimena izendatzen duen lerroa. Lerro horrek gehiago balio du bezeroak azkenean jakinarazten duen itxaron-denborak baino.