VPN gaineko SSHFS muntaketaren jabe izan behar al du erabiltzaile saioak?

VPN-a altxatu ondoren karpeta partekatu bat muntatzeak erraz nahasten diren bi identitate dakartza: sarea konfiguratzeko baimena duen osagaia eta fitxategi zerbitzarian saioa hasteko baimena duen kontua. Gutxitan dira bera. Root-en jabetzako VPN kako bat leku txarra da mahaigaineko erabiltzaile baten SSHFS muntaketa hasteko, ez baitu ez erabiltzailearen agentea ez eta aurreikusitako muntatze jabetza ere. Jabetza lehenik ondo finkatzeak abiarazlea sinple egiten du.

Bi identitate, bi baimen bereizi

VPN bezeroak ibilbideak eta interfazeak aldatzeko pribilegioak behar ditu. SSHFS muntaketak fitxategi zerbitzariak onartzen duen SSH identitatea eta fitxategiak irakurriko dituen kontuaren jabetzako FUSE muntaketa behar ditu. Root gisa exekutatutako script batek lehen baldintza betetzen du eta bigarrena isilean apurtzen du.

Root gisa muntatzeak fitxategiak mahaigaineko saiotik kanpo uzten ditu eta agian erabiltzailearen gakoa gordetzen duen agentea eskuratu gabe. Muntaketa existitzen da, erabiltzaileak ezin du haren bidez idatzi, eta hutsegitea zerbitzari aldeko baimen arazoa dirudi. Diagnostiko oker horrek arratsalde bat eta billete bat kostatzen dio biltegiratze taldeari.

Erabaki zein kontuk duen muntaketaren jabetza edozein automatizazio idatzi aurretik, aukera horrek zehazten baitu non bizi den abiarazlea eta zein kredentzialetara irits daitekeen.

Lehenengo ezarri eskuz erabiltzailearen jabetzako muntaketa bat

Hasi saioa hasi duen erabiltzaile batekin, muntatze-puntu huts batekin, baimendutako SSH kontu batekin eta tunelaren bidez zerbitzarirako bide erabilgarri batekin. Eskuzko muntaketak edozein automatizaziok erreproduzitu behar duen oinarria ezartzen du.

mkdir -p "$HOME/mnt/team"
sshfs [email protected]:/exports/team "$HOME/mnt/team"
mount | grep sshfs

Izenak adibideak dira, beraz ordeztu zure zerbitzariak benetan eskaintzen dituen ostalaria eta esportazio bidea. Egiaztatu ostalariaren gakoa prozesu onartuaren bidez lehen konexio horretan. Kontuan izan VPN kontuaren pasahitza ez dela automatikoki biltegiratze kontuaren kredentziala, eta hori saiakera huts egiteko arrazoi ohikoa da.

Exekutatu erabiltzaile arrunt gisa, erabiltzaile horren jabetzako muntatze-puntu batekin. Lehenespenez muntatzen duen kontuak soilik iristen ditu fitxategiak, eta allow_other muga hori tokiko erabiltzaile bakoitzera zabaltzen du. Hori sarbidearen zabalkuntza deliberatua da, ez automatizaziorako saihesbidea.

Utzi abiarazleari saioaren testuinguru berean jarduten

Utzi onartutako VPN gertaeren integrazioari erabiltzaile saioaren ekintza bat exekutatzeko eskatzen, pribilegiodun callback batek mahaigaineko kredentziala maileguan har dezakeela suposatu beharrean. Mugatu abiarazlea aurreikusitako konexio identifikatzaileari, eta ez ustekabean tun0 izena duen edozein interfazeri. Gauza okerrarekin bat egiten duen banatzaile arauak sare aldaketa bakoitzean pizten da, muntaketa honekin zerikusirik ez dutenetan barne.

Ekintzak espero den ostalari izena baieztatu, lehendik dagoen muntaketa bat nabaritu eta saiakera mugatu bat egin beharko luke. Segundo batzuetan behin SSHFS prozesu berri bat abiarazten duen edo zerbitzaria itzalita dagoela kredentzial eskaera errepikatzen duen inkesta begizta batek etenaldi laburra prozesu blokeatuen pila bihurtzen du. Mugatu saiakera denbora-muga batekin eta berriro saiakera bakar batekin.

nmcli -g UUID connection show --active
systemctl --user list-units 'sshfs*'
pgrep -a sshfs

Lehen komandoak banatzaileak bat etorri behar duen konexio identifikatzailea ematen du. Beste biek erakusten dute saiakera bat martxan dagoen ala ez, eta hori da bikoizketak eragozten dituen egiaztapena.

Zaintzarik gabeko zerbitzu batek bere kredentzial onartuak eta bere ostalari egiaztapena behar ditu bere exekuzio testuinguruan. Ezin du suposatu agente grafiko bat desblokeatuta dagoenik, eta ez luke desblokeatzen saiatu behar.

Planifikatu deskonexioa garbiketa behartu aurretik

Deskonexio planifikatu baterako, amaitu fitxategi eragiketak eta desmuntatu muntatzen duen erabiltzailearen lan-fluxutik bertatik. Heldu muntatze-puntuari, ez prozesuari, eta baieztatu emaitza arrakasta jakinarazi aurretik.

fusermount3 -u "$HOME/mnt/team"
mountpoint "$HOME/mnt/team"

Desmuntatu lan-fluxu honek sortutako muntaketa soilik. Okupatuta badago, aplikazioaren erabakia da: kako batek arrakasta itzul dezan existitzen den bereizketa behartuak datu galera ezkutatzen du, saihestu beharrean.

Ustekabeko galerak beste modu batera jokatzen du. SSHFS-k dokumentatzen du sare etenaldi batek fitxategi-sistemen eragiketa bat blokea dezakeela, eta reconnect aukerak garraioa berritzen du handle-ak berritu gabe: berriz konektatu aurretik irekitako fitxategi batek hurrengo idazketan huts egin dezake, eta etendako idazketa ez da gordetzen. Bereizketa hori garrantzitsuena da fitxategi bat orduz irekita mantentzen duten editoreentzat. Planifikatu berriz irekitzeko urrats bat, berreskurapena suposatu beharrean.

Probatu portaera bota daitezkeen fitxategiekin hartan fidatu aurretik. Tunela itzuli ondoren berriro agertzen den direktorio batek ez du frogatzen lehenagoko handle-ak edo gorde gabeko lana bizirik atera zirenik.