Ná carnadh cruaíocht systemd ar an titim user in OpenVPN

Ní tháirgeann dhá oideas íosphribhiléid greamaithe le chéile imscaradh níos déine. Ligeann aon mhúnla don daemon tosú le pribhiléid agus titim go cuntas gan phribhiléid tar éis an túsú; ligeann an ceann eile don bhainisteoir seirbhíse é a sheoladh faoi fhéiniúlacht shrianta ón gcéad treoir. Oibríonn gach ceann leo féin, agus is minic a tháirgeann an teaglaim seirbhís nach féidir léi ceachtar den dá phost a dhéanamh go glan. Téann an chuid eile díobh seo tríd an gcinneadh in ord.

Dhá mhúnla, aon úinéir amháin ar an aistriú

Baineann an chéad mhúnla leis an daemon. Athraíonn roghanna OpenVPN an phobail user agus group an fhéiniúlacht tar éis an tollán agus na heochracha a bheith socraithe, agus coimeádann persist-key mar aon le persist-tun na hacmhainní sin inúsáidte ina dhiaidh sin.

Baineann an dara múnla leis an mbainisteoir seirbhíse. Socraíonn socrú systemd User= nó Group= an fhéiniúlacht a dtosaíonn an próiseas fúithi, agus socraíonn treoracha cumais cad is féidir leis a shealbhú. Is ceist phacáistithe í an rogha idir na múnlaí sula bhfuil sí ina ceist slándála, agus d'fhreagair cothaitheoir an phacáiste cheana féin í. Do phostsa an freagra sin a aimsiú seachas an tríú rogha a chumadh.

Tá an dá cheann dlisteanach. Is é an botún iad a láimhseáil mar shraitheanna d'aon dearadh amháin, mar is féidir leis an dara múnla athrú féiniúlachta an chéid a dhéanamh ina oibríocht nach bhfuil cead ag an bpróiseas a thuilleadh a dhéanamh.

Cinntigh cá n-athraíonn an fhéiniúlacht

Má thosaíonn an t-aonad cheana féin mar chuntas tiomnaithe, iarrann treoir daemon chun bheith ina chuntas eile aistriú setuid nár ceapadh seirbhís chrua riamh a dhéanamh. Taispeántar an teip mar earráid cheada ag an tús seachas mar theachtaireacht pholasaí shoiléir. Léitear é mar chumas atá ar iarraidh, rud a bhrúnn daoine i dtreo tacar teorainn níos leithne in ionad cheist na féiniúlachta.

Léigh cad a sheachadann an pacáiste suiteáilte i ndáiríre sula ndéanann tú aon rud a chur in eagar, lena n-áirítear a chomhadlann drop-in. Fágann roinnt aonad titim an daemon féin ar lár go toiliúil toisc go ndéileálann an bainisteoir léi cheana, agus braitheann roinnt ar na roghanna sin don aistriú tar éis an túsú. Is é an bealach a stopann seirbhís atá ag obair ag tosú ná ceachtar den dá rud a bhaint gan fhios cad é an múnla a fuair tú le hoidhreacht.

Scríobh an múnla roghnaithe in aon líne amháin: faoi úinéireacht an bhainisteora nó faoi úinéireacht an daemon. Caithfidh gach treoir ina dhiaidh sin a bheith comhsheasmhach leis an abairt sin, agus ba chóir aonad measctha a láimhseáil mar locht seachas mar chomhréiteach.

Is teorainneacha iad cumais, ní bronntanais

Deir tacar teorann cumais cad is féidir le próiseas a shealbhú ar a mhéad. Is uasteorainn é, agus ní thugann cumas a liostú ann aon rud as féin, agus mar sin féadfaidh aonad le tacar teorann fialmain fós teip ar thollán a chruthú.

Is é an rud a chuireann cumas sa tacar timpeallach do sheirbhís i ndáiríre ná AmbientCapabilities=. Déanann an tagairt fhorghníomhaithe systemd an dá threoir a dhoiciméadú ar leith, agus míníonn an t-idirdhealú sin an chuid is mó den chomhairle mhearbhlach faoi chumais ar líne.

Ná cuir cumas leis ach amháin tar éis den oibríocht a theipeann é a aithint. Folaíonn tacar teorann níos leithne an fhíorchúis agus fágann sé an tseirbhís níos pribhléidí ná mar a bhí beartaithe ag an dearadh. Déanann sé an t-aonad níos deacra le hathbhreithniú freisin, mar ní chuireann an uasteorainn síos ar an obair a thuilleadh. Bain an cumas breise nuair a bheidh an fíorlocht ceartaithe.

Mapáil an t-údarás ar feadh an tsaoilréimse

Liostaigh a bhfuil le déanamh ag an bpróiseas ag gach céim: tús, staid chobhsaí, athfhíordheimhniú agus dífheistiú. Ní tharlaíonn cruthú comhéadain, athruithe bealaí, léamh eochair chosanta agus glao ar chúntóir go léir ag an am céanna ná faoi na riachtanais chéanna. Sórtáil an liosta de réir céime sula sórtálann tú de réir cumais é.

Caomhnaíonn roghanna marthanachta acmhainní thar athchaibidlíocht, agus ní thugann siad ceadanna nár sealbhaíodh riamh. Fanfaidh eochair nach féidir leis an bpróiseas a léamh ag an tús do-aitheanta níos déanaí freisin, cibé rud a deir na bratacha marthanachta. Caomhnaíonn na bratacha an rud a d'oibrigh cheana.

Úsáid cuntas tiomnaithe seach cuntas comhroinnte. Tugann forbróirí OpenVPN rabhadh i gcoinne an ghnáis nobody a úsáid mar shampla ginearálta, mar b'fhéidir go bhfuil seirbhísí eile ar an óstach ag rith faoin gcuntas sin cheana agus níl an leithlisiú a cheapann tú atá agat ann.

Féadfaidh gnéithe a athraíonn an t-ualach áitiúil, amhail ollscaoileadh na cainéal sonraí nó tógáil a nascann ar bhealach difriúil, na hoibríochtaí a theastaíonn a aistriú. Athbhreithnigh an léarscáil nuair a athraíonn an pacáiste, ní hamháin nuair a bhriseann rud éigin.

Scríobh an plean síos agus coinnigh rochtain téarnaimh

Ba chóir d'iontráil imscartha an bainisteoir, féiniúlacht an tús, an fhéiniúlacht chobhsaí atá beartaithe agus gach deontas a ainmniú mar aon leis an oibríocht a éilíonn é. Is é an iontráil sin a dhéanann an chéad athrú eile inathbhreithnithe seachas turgnamhach.

Coinnigh rochtain consóil ar fáil agus tú ag cur in eagar, mar is deacair aonad a theipeann ag an tús a dheisiú go cianda. Tástáil atosú agus atosú iomlán sula ndéarfá go bhfuil an t-athrú críochnaithe. Féadfaidh aonad a mhaireann atosú fós teip sula mbeidh an líonra suas.

Is é an rath ná saoilréimse íosúdaráis atá tuigthe, ní próiseas a tharlaíonn a bheith ag rith faoi ainm nach root é.