ifconfig-noexec rêdt jo SSH-sesje net: wat it docht
It ûnderdrukt OpenVPN syn eigen ynstelle fan de ynterface-adres. It reservearret gjin SSH-antwurdroete, skeakelt net elke roetewiziging út en jout it ûntbrekkende adres net.
Earne yn in foarumtried wurdt ifconfig-noexec oanbean as de oplossing dy't in SSH-sesje libben hâldt as in tunnel omheech komt. De redenearring klinkt leauwich oant jo kontrolearje wat de opsje oanrekket. It stopet OpenVPN om it adres fan 'e tunnel-ynterface te konfigurearjen en jout dy wearden ynstee oan scripts; oer wêr't antwurden op jo behearferbining hinne gean seit it neat. Oars leauwe jout in tunnel sûnder brûkber adres en in SSH-sesje dy't dochs stjert.
Wat de opsje eins delegiert
Standert bringt de klient it tunnelapparaat omheech en jout it lokale en fiere adres ta dat de server him joech. Mei ifconfig-noexec oan set wurde dy stap oersprongen, en de ûnderhanneljende wearden wurde eksportearre nei de scriptomjouwing sadat eat oars se tapasse kin.
Eigendom ferpleatst. Der wurdt neat betocht op syn plak.
Dat de fraach dy't de opsje beantwurdet is wa't de ynterface konfigurearret, en de fraach dy't it net beantwurdet is hoe't pakketten har wei werom nei jo fine. Hâld dy apart, oars bringe jo in jûn troch mei roeten te bewurkjen om in ynterface sûnder adres te kompensearjen.
Trije fergelykbere opsjes mei ferskate taken
De famylje is maklik te betiizjen om't de nammen in wurd ferskille en de symptomen oerlaapje. Lês wat elk ûnderdrukt foar't jo ien fan harren kieze.
| Opsje | Wat ophâldt te barren |
|---|---|
ifconfig-noexec | OpenVPN syn eigen tunnel-adreskonfiguraasje; wearden gean ynstee nei scripts |
route-noexec | Automatysk tafoegjen en fuortsmite fan roeten; roetedetails gean nei in script |
route-nopull | Roeten dy't de server skoot en besibbe opsjes lykas DNS wurde ôfwiisd |
Dit binne alternativen om apart te begripen, net in set om byinoar te plakken. It ûnderdrukken fan adreskonfiguraasje ûnderdrukt gjin roetewizigings, firewallregels of de skode opsjes dy't DNS drage. In delegarre script is ek frij om roeten te feroarjen, en dat is in beslút dat jo oerjaan ynstee fan it te foarkommen.
As in leveransiersklient de motor ynpakt, brûk syn stipe yntegraasje ynstee fan in direktive op leech nivo yn in profyl te smiten en te hoopjen dat it ynpaksel it respektearret. Ynpakkels meitsje it profyl faak op 'e nij by ferbining, sadat in hânmjittige bewurking sûnder flater ferdwynt. Kontrolearje wêr't de klient syn ynstellingen hâldt foar't jo in jûn oan it bestân bringe. Dat jildt foar elke rige yn 'e tabel, net allinnich foar dy't jo kamen.
De SSH-sesje dy't jo beskermje woene
In SSH-ferbining hat in boarne-adres, in bestimmingsadres en in antwurdroete. Op in server dy't krekt in fol-tunnel-standert ynstallearre hat, past it antwurd op jo publike adres by de tunnel, en de VPN-poarte lit it falle.
Neat yn 'e adreskonfiguraasje fan 'e tunnel-ynterface feroaret dat.
Wat dat reparearret is in spesifiker roete foar jo behearadres troch de poarte foar de tunnel, of in beliedsregel dy't dat ferkear liedt, plus de filterynstellingen dy't jo host tapast. De twa problemen ferskine soms byinoar, en sa wurdt ien foar in genêzing fan 'e oare oansjoen. Test se apart: bring de tunnel omheech sûnder de opsje, sjoch nei it ynterface-adres en de antwurdroete, en beslút dan hokker fan 'e twa eins brutsen is.
Wat in delegarre script oernimme moat
As jo echt wolle dat in oare eigener de ynterface konfigurearret, list it wurk op: tapas it lokale en fiere adres, bring it apparaat omheech, restaurearje of ferwiderje de adressaasje by it demontearjen, en doch itselde wer nei in werferbining. Wearden fan ien suksesfolle sesje moatte net hurd kodearre wurde, om't de server de folgjende kear in oar pear jaan kin.
De omjouwingsferfarriabelen dy't de klient eksportearret binne de iennichste stipe ynfier foar dat wurk.
env | grep -E '^ifconfig_|^route_'Yn in route-up-script binne dy ferfarriabelen beskikber; fan in cron-taak of in hânmjittige shell net. Befestigje hokker libbenssyklusheak jo ferzje brûkt, en befestigje dat de heak mei genôch privileezjes rint om de ynterface te feroarjen, om't de klient miskien al nei in ûnprivilegearre brûker oergien is.
Test de hiele libbenssyklus, net ien sesje
Bring de tunnel omheech, kontrolearje it adres op it apparaat, ferbine dan wer en kontrolearje it nochris. In konfiguraasje dy't ien kear wurket en by it twadde besykjen mislukt, betsjut meastentiids dat de delegarre stap allinnich by de earste ferbining rint.
Test dan beide akseptkriteria byinoar: in nije SSH-ferbining troch it bedoelde behearpaad wurket, en in tastien applikaasje brûkt de tunnel korrekt.
In âlde SSH-sesje dy't by gefal oerlibbet wylst de tunnel gjin adres hat, is gjin sukses, en it is krekt de steat dy't dizze opsje produsearret as nimmen it wurk oernimt. Kontrolearje earst it ynterface-adres, dan it behear-antwurdpaad, dan de applikaasje. As twa fan 'e trije ferkeard binne, hat de opsje wurk ferpleatst sûnder it in eigener te jaan.