status=200/CHDIR: systemd-ek ez zuen inoiz OpenVPN abiarazi

Zerbitzuak huts egiten du, erregistroek spawn bat eta direktorio bat aipatzen dituzte, eta lehen instintua VPN konfigurazioa egiaztatzea da. Fitxategi horretatik ezer ez da oraindik irakurri. systemd prozesua prestatzen ari zela huts egin zuen, exekutagarria exekutatu aurretik, beraz ez da parserrik, ziurtagiririk ez eta urruneko ostalaririk kontsultatu. Status kodea systemd-i buruzkoa da, ez OpenVPN-i buruzkoa, eta horrek egiten du ikerketa hau labur.

Irakurri status-kodea aplikazioa baino lehen

Zerbitzuaren izenaren ondorengo kode numerikoak huts egin zuen etapa izendatzen du. Direktorio-hutsegitea CHDIR status gisa jakinarazten da, exekutatu ezin izan zen exekutagarria, berriz, erabat beste kode bat da. Biak berdinak dirudite laburpen-lerro batean eta ez dute ezer amankomunean beren kausetan.

Bereizketa horrek garrantzia du, konponketak fitxategi ezberdinetan baitaude. CHDIR hutsegitea bide bati eta zerbitzuak hari nola ikusten dion dagokio. Exec hutsegitea bitarrari, bere interpreteari edo erlaziorik gabeko mount bati dagokio. VPN-ren urruneko puntua, zifratze-zerrenda edo ziurtagiriaren bidea aldatzeak ezin du bat ere konpondu.

Baieztatu hutsegitea hasieran gertatzen dela eta ez exekuzio arrakastatsu baten ondoren. Zerbitzuak atzo funtzionatu bazuen eta orain etapa berean huts egiten badu, zerbait aldatu da direktorioan, haren baimenetan edo unitatean bertan, eta aldaketa hori da bilatu beharreko froga.

Galdetu unitateari non egon nahi duen

Irakurri unitate eraginkorra, instalatuta dagoela uste duzun fitxategia beharrean, drop-in-ek lan-direktorioa gainidatz dezaketelako unitate nagusia inoiz editatu gabe. Show irteerak galderari zuzenean erantzuten dio:

systemctl cat [email protected]
systemctl show [email protected] -p WorkingDirectory -p RootDirectory -p User -p ProtectHome
journalctl -u [email protected] -b --no-pager | tail -30

Upstream zerbitzariaren txantiloiarentzat, lan-direktorioa zerbitzariaren konfigurazio-direktorioa da eta instantziaren izenak barruko profila hautatzen du. Branch izeneko instantziak, beraz, bere fitxategia espero du direktorio horretan bertan, eta beste nonbait jarritako profilak ez du lan-direktorioaren baldintza batere betetzen.

Konparatu unitateak eskatzen duena dagoenarekin. Lehen existitzen zen bide bat, orain beste nonbait seinalatzen duen esteka sinboliko bat edo direktorio batekin bat egiten ez duen instantzia-izen bat ohiko aldaketak dira, hutsegite zehatz hau sortzen dutenak.

Egiaztatu bidea zerbitzuak ikusten duen bezala

Zure shelleak eta zerbitzuak ez dute fitxategi-sistemaren ikuspegi bera partekatzen. Konfiguratutako erro-direktorioak edo root image-ak aldatzen dute bide absolutuak unitatearen barruan esan nahi duena, eta ostalarian nabarmen dagoen bide bat falta liteke namespace horretan. Irakurri unitatearen ezarpenak eskuzko proba bati fidatu aurretik.

Baimenek arazoa areagotzen dute. Zerbitzua erabiltzaile zehatz batekin exekutatzen da, eta erabiltzaile horrek goiko direktorio guztiak zeharkatu behar ditu helburura iristeko, ez soilik helburua bera irakurri. Root-ek irakur dezakeen baina zerbitzuaren erabiltzaileak zeharka dezakeen direktorioak bide falta dirudien hutsegitea sortzen du.

namei -l /etc/openvpn/server
systemctl show [email protected] -p ProtectSystem -p ReadOnlyPaths

Gogortze-ezarpenak ere koadro honen parte dira. Etxe-direktorioak ezkutatzen edo fitxategi-sistemaren zati bat irakurtzeko soilik uzten duen unitate batek konfiguratu zaion bezala egiten du, eta lan-direktorioak sandboxak oraindik erakusten duen lekuan egon behar du.

Konpondu jabea, eta gero espero beste errore bat

Zuzendu diseinua edo unitatea konfigurazio horren jabe denaren bidez. Profila espero den direktorioan sartzea konponketa zilegia da diseinua okerra denean, baina ez du azaltzen sartu ezin den direktorio bat, beraz ez hartu erantzun orokor gisa.

Egin aurre konfigurazio-zuhaitzeko baimenak zabaltzeko edo sandboxa kentzeko bide laburrari. Biek sintoma desagerrarazten dute, han nahita jarritako babesak kenduz, eta hurrengo hutsegitea zailagoa izango da interpretatzeko.

Berrabiarazi instantzia eta irakurri hurrengo gertaera, arrakasta suposatu beharrean. Hurrengo errore probablea OpenVPN-ek bere konfigurazio-fitxategia ireki ezin duela da, eta hori aurrerapena da: lan-direktorioan sartu da eta parserra martxan dago orain. Jarraitu unitatearen fitxategi-mapa errealari hemendik aurrera, sareko arazoen bila itzuli beharrean.

systemd exekuzio erreferentziak definitzen du nola interpretatzen den lan-direktorioa erro-direktorioekin eta sandboxarekin batera. Gogoratzeko eredua erraza da: status-kode bakoitzak etapa ezberdin bat izendatzen du, eta aplikazioaren beraren erroreek soilik deskribatzen dute aplikazioa.