Etxeko VPN-a systemd ExecCondition batekin saltatzea

Etxeko sareko VPN-ak ez du ezer egiteko eramangarria jada sare horretan badago. Lasterbide tentagarria zero ez den kodearekin irteten duen prestatzeko komandoa da; horrek unitatea hutsarazten du eta panel guztiek hautsita daudela dirudite. systemd-k horrelako erabaki mota zehatzarentzako direktiba du, eta nahitako saltoa benetako akatsetik bereizten du. Behar bezala egitea, batez ere, irteera-kode bakoitzak zer esan nahi duen idaztea da.

Zergatik den aurretiko baldintza huts egitea forma okerra

ExecStartPre-k zero ez den irteera abio-hutsegite gisa hartzen du, zerbitzua prestatzen duen komando batentzat zuzena dena. Baldintza gisa erabiltzeak politika-erabakia menpekotasun hautsitik bereiztezina egiten du. ExecCondition existitzen da unitateek hutsik markatu gabe abiatzeari uko egiteko.

Bereizketa hori goizeko hiruretan garrantzitsua da, inork ez duelako diseinatzen bezala jokatzen zuen unitate gorri bat triajeatu nahi. Unitate huts batek nahitakoen artean benetako akatsak ere ezkutatzen ditu.

Idatzi lehenengo irteera-kodeen kontratua

Idatzi kontratua scriptaren aurretik. Zero irteerak jarraitu esan nahi du, bat irteerak gainerako abio-komandoak saltatu, eta 255 irteerak baldintza bera ezin izan zela exekutatu. Bi eta 254 arteko kodeek normalean saltatu ere esan nahi dute, laguntzaileak ausazko errore-kode bat itzultzen duenean ahazteko erraza dena. Beheko drop-in fitxategiak laguntzailea unitatearen benetako izenari lotzen dio.

[Service]
ExecCondition=/usr/local/libexec/should-start-home-vpn

Egiaztatu unitate eraginkorra SuccessExitStatus edo stop-post ezarpen heredatuei dagokienez, lehenetsitako semantika suposatu aurretik. Gero probatu hiru emaitzetako bakoitza nahita.

Sare-iradokizun bat ez da kokapenaren froga

Irisgarri den router helbide batek edo MAC ezagun batek sare egokia iradoki dezakete, eta batek ere ez du hori frogatzen. Beste sare batek helbide bera erabil dezake, ARP datuak zaharkituta egon daitezke, eta identifikatzaileak imita daitezke. Hartu zunda politikarekin bat datorren optimizazio gisa, ez autentifikazio-emaitza gisa.

Erabaki aldez aurretik zer esan nahi duen ziurgabetasunak. Ziur ez zaudenean VPN-a abiaraztea segurua da besterik gabe konektatuko ez litzatekeen bezero batentzat; ziur ez zaudenean saltatzea ez da segurua. Egin zunda mugatua, eta irakurri interfaze aktiboa zerrendako lehenengoa suposatu beharrean. Zintzilik geratzen den zunda «ez» erantzuten duen bat baino okerragoa da, unitateak itxaroten baitio.

Idatzi suposizio horiek unitate-fitxategiaren ondoan, hurrengo pertsonak laguntzaileak zer uste duen jakin dezan. Scriptaren goiko iruzkin bat da horiek gordetzeko lekurik merkeena.

Kudeatu sareen arteko mugimendua

Baldintza zerbitzua abiatzean exekutatzen da, eta ez da geroago berrantzematen. Saltatutako unitate bat saltatuta geratzen da eramangarria kafetegi batera mugitu ondoren, eta martxan dagoen tunel bat zutik geratzen da eramangarria etxera itzuli ondoren. Lotu sare-aldaketaren bizi-zikloa hasiera eta geldiketa erabakiarekin mekanismo bereizi baten bidez.

systemctl cat home-vpn.service

Proba itzazu lau kasu: abioa etxean, abioa etxetik kanpo, ezin den exekutatu zunda bat, eta sareen arteko mugimendua unitatea aktiboa den bitartean. Eutsi saltatzeko arrazoia egunkarian ikusgai, nahitako erabaki bat inoiz ez dadin autentifikazio-hutsegite bezala ager. Zerbitzuaren erreferentzia orriak irteeraren semantika eta gutxieneko bertsioa dokumentatzen ditu.