SSHFS-liitokset kuuluvat käyttäjälle, eivät VPN-koukulle

Oletus on helppo omaksua ja vaikea huomata: VPN-yhteyskoukku toimii rootina, joten myös sen käynnistämä liitos pitäisi järjestää rootina. Tämä päättely tuottaa tiimihakemiston, jota työpöytäkäyttäjä ei voi avata, liitoksen, joka katoaa käynnistävän palvelun uudelleenkäynnistyksessä, ja todennuskehotteen ympäristössä, jossa kukaan ei voi vastata siihen. Koukku ja liitos ovat kaksi eri työtä, ja vain toinen niistä tarvitsee käyttöoikeuden.

Myytti: verkkoliitännän oikeus tarkoittaa liitosoikeutta

Verkkoliitännän nostaminen ja tiedostopalvelimeen todennus ovat toisistaan riippumattomia kykyjä, ja ne kuuluvat yleensä eri tileille. VPN-komponentti tarvitsee riittävät oikeudet reittien ja liitäntöjen muuttamiseen. Tiedostopalvelintili tarvitsee avaimen tai salasanan, päätöksen isäntäavaimesta ja kotihakemiston, johon liittää. Toisen työn tunnistetietojen antaminen ensimmäiselle identiteetille on se tapa, jolla verkkopalvelu päätyy pitämään käyttäjän avainta.

Yhden käyttäjän kannettavassa ne voivat olla sama tili, eikä se yhteensattuma ole suunnittelua.

Kun etuoikeutettu koukku tekee liitoksen, kolme asiaa menee hiljaa pieleen. Liitos on rootin omistuksessa, käyttäjän agentti puuttuu siitä ympäristöstä, ja virheet näkyvät verkkopalvelun lokissa eikä istunnossa, jota asia koskee. Mitään näistä ei korjata lisäämällä vaihtoehtoja liitoskomentoon. Ne korjataan antamalla työ istunnolle, joka omistaa identiteetin.

Miksi liitos kuuluu kirjautuneelle käyttäjälle

SSHFS-liitos on FUSE-liitos, joka kuuluu sen luoneelle prosessille, ja pääsy seuraa tätä omistusta eikä ylähakemiston tilaa. Viite suosittelee tavallista käyttäjää, jolla on hänen omistamansa liitospiste, ja juuri siksi root-prosessin luoma liitos on hankala kaikille muille. Käyttöoikeuden muuttaminen liitospisteessä ei korjaa sitä, koska este on liitoksen oma omistaja.

Aloita käsin tehtävällä perustasolla käyttäjän istunnon sisällä: olemassa oleva tyhjä liitospiste kotihakemiston alla, valtuutettu tili palvelimella ja isäntäavain, joka on jo varmennettu hyväksytyllä prosessillasi. Liitä se kerran käsin ja käytä sitä, koska se todistaa identiteettipolun toimivan ennen kuin mitään automaatiota on olemassa. Kirjaa, mitä komento tarvitsi: tilin nimi, vientipolku ja yksityinen isäntänimi. Säilytä täsmälleen tämä konteksti automatisoidulle versiolle, koska toimiva käsin tehty liitos on määrittely, joka liipaisimen on toistettava.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Käsittele jokaista tuon rivin nimeä ja polkua paikkamerkkinä, myös tiliä ja vientiä. VPN-tilin salasana ei ole automaattisesti tallennustilin tunnistetieto.

Mitä liipaisimen pitäisi pyytää istuntoa tekemään

Tuettu järjestely on pyyntö verkkotapahtumasta käyttäjän istuntoon, ei lainattu tunnistetieto. Rajaa liipaisin siihen yhteyteen, jota tarkoitat, nimen tai UUID:n mukaan, etkä mihin tahansa liitäntään, jonka nimi sattuu olemaan tun0. Tämä yksi muutos estää toista profiilia, testitunnelia tai kollegan virheenkorjausistuntoa käynnistämästä liitosta.

Istunnon puolen toiminnon pitäisi etsiä aiottu olemassa oleva liitos ja tehdä sitten yksi rajattu yritys.

Älä yritä uudelleen joka kyselyssä äläkä jatka tunnistetietojen pyytämistä, kun palvelin ei ole tavoitettavissa, koska molemmat muuttavat tilapäisen katkoksen tilin lukitukseksi. Valvomaton palvelu on erillinen suunnittelu, jolla on omat hyväksytyt tunnistetiedot ja oma isäntävarmennus omassa suorituskontekstissaan, eikä se voi luottaa siihen, että joku on avannut graafisen agentin. Päätä, kumman kahdesta rakennat, ennen kuin valitset, missä koodi asuu. Suurin osa tämän sekaannuksesta tulee toisen rakentamisesta ja toisen odottamisesta.

Yhteyden katkaisu on tiedostojärjestelmän tapahtuma, ei koukun tapahtuma

Suunnitellun katkaisun pitäisi lopettaa tiedostotoiminnot ja irrottaa liitos liittävän käyttäjän istunnosta kyseiselle tiedostojärjestelmätyypille tuetulla komennolla. Irrotuksen pakottaminen, jotta koukku palaisi nopeasti, on se tapa, jolla sovellukset menettävät työhakemistonsa ja käyttäjät luottamuksensa automaatioon. Varattu liitos tarvitsee sovellustason päätöksen, kuten tiedoston sulkemisen tai kirjoituksen pysäyttämisen, ei vahvempaa signaalia. Koukun poistumistila ei ole se, mitä optimoidaan.

fusermount3 -u "$HOME/mnt/team"

Odottamaton menetys on toinen tapaus, ja SSHFS dokumentoi, että keskeytynyt toiminto voi estyä, kun kuljetus yhdistää uudelleen.

Uudelleenyhdistämisvaihtoehto palauttaa kuljetuksen, ja ennen sitä uudelleenyhdistämistä avatut tiedostot voivat yhä palauttaa virheitä ja vaatia uudelleen avaamista. Palannut VPN ei todista mitään aiemmista kahvoista tai tallentamattomasta työstä. Valitse käyttäytyminen, jonka haluat katkoksen aikana — keskeytys, virheen näyttäminen tai tarkoituksellinen uudelleenliittäminen — ja testaa se kertakäyttöisillä tiedostoilla ennen kuin mikään riippuu siitä.