Ní féidir le coimeádán LXD /dev/net/tun a oscailt? Seiceáil iontráil unix-char

Nochtann LXD gléas carachtar ón óstach do choimeádán trí nód gléis a chur leis, ní trí mhúineadh don aoi ceann a chruthú. Mura bhfuil /dev/net/tun sa choimeádán, b'fhéidir go bhfuil an gléas ar an óstach agus fós nach féidir leis an aoi é a oscailt. Is é iontráil unix-char leath an bhóthair sin ar thaobh an bhainisteora, agus tá sí níos cúinge d'aon ghnó ná coimeádán faoi phribhléid. Sin an fáth a dtuilleann nód an ósta agus nód an choimeádáin seiceálacha ar leith.

Tá an mheicníocht gearr go leor le coinneáil i radharc: réitíonn LXD cosán ósta, cruthaíonn sé nód comhoiriúnach laistigh den sampla agus cuireann sé an gléas le cgroup gléasanna an choimeádáin. Ansin teastaíonn a chead agus a chumas féin ó phróiseas an aoi chun an nód a úsáid ar aon rud.

Cad a athraíonn iontráil unix-char i ndáiríre

Deir gléas unix-char le LXD gléas carachtar amháin ón óstach a nochtadh ar chosán roghnaithe laistigh den choimeádán. Tá trí chuid thábhachtacha san iontráil: lipéad an ghléis a úsáideann an bainisteoir, an cosán source ar an óstach agus an path a fheiceann an t-aoi. Ní chuireann ach an dá cheann deireanacha síos ar an ngléas féin. Cruthaíonn clóscríobhán in aon cheann acu nód in áit nach n-osclaíonn an cliant riamh.

Ar an óstach is gnách gurb é /dev/net/tun an gléas. Laistigh den choimeádán is féidir leat an cosán céanna a choinneáil nó ceann eile a roghnú, ach caithfidh an cosán teacht leis an rud a mbíonn súil ag cliant VPN leis. Seachnaíonn coinneáil /dev/net/tun dara fadhb chumraíochta, mar osclaíonn formhór na gcliant an cosán sin gan fiafraí.

Cuireann an bainisteoir an iontráil i bhfeidhm nuair a thosaíonn an sampla nó nuair a dhéantar an gléas a phlugáil go te. Ní chóipeálann sé tiománaí isteach san aoi agus ní chruthaíonn sé comhéadan tolláin. Déanann sé an nód a fheiceáil agus ceadaíonn sé rochtain trí ghrúpa rialaithe gléasanna an choimeádáin.

Dearbhaigh an gléas ar an sampla, ní laistigh den aoi

Cuir an iontráil leis ó chomhthéacs riaracháin LXD, ag ainmniú an tsampla agus lipéad a aithneoidh tú níos déanaí. Do choimeádán darb ainm vpnbox is é an t-ordú:

lxc config device add vpnbox tun unix-char source=/dev/net/tun path=/dev/net/tun
lxc config device show vpnbox

Tá lipéad tun áitiúil do chumraíocht an tsampla. Ní ainm comhéadain é agus ní gá dó teacht le haon rud san aoi. Má sholáthraíonn próifíl an gléas céanna cheana, cruthaíonn dara hiontráil coimhlint seachas iomarcaíocht, mar sin scrúdaigh an chumraíocht éifeachtach ar dtús.

Is é an tsraith mhícheart é comhaid a chur in eagar laistigh den choimeádán. B'fhéidir go bhfeicfear mknod i script tosaithe ag obair ar choimeádán faoi phribhléid, agus ansin imíonn sé ar athchruthú nó teipeann sé ar cheann nach bhfuil faoi phribhléid chomh mór. Is leis an mbainisteoir sraith ghléasanna an tsampla; lig dó an nód a bheith aige freisin.

Meaitseáil úinéireacht agus mód le próiseas an aoi

Is féidir le hiontráil unix-char uid, gid agus mode a shocrú don nód laistigh den choimeádán. Úsáid iad chun teacht leis an gcuntas a ritheann an cliant VPN, seachas an gléas a oscailt do gach úsáideoir nó an coimeádán a athrú go mód faoi phribhléid.

Ní hionann infheictheacht agus cead. Tá nód atá faoi úinéireacht root le mód 600 le feiceáil ag an tseirbhís a ritheann mar úsáideoir gan phribhléid agus fós ní féidir léi é a oscailt. Seiceáil cuntas an aoi ar dtús, ansin socraigh an úinéireacht don chuntas sin, agus coinnigh an mód gan a bheith níos leithne ná mar a theastaíonn ón gcliant.

Teastaíonn ón bpróiseas freisin an cumas comhéadan tolláin a chumrú, go hiondúil CAP_NET_ADMIN i spás ainmneacha líonra an choimeádáin. Ní thugann cur an ghléis an cumas sin, agus ní sholáthraíonn tabhairt an chumais an gléas; is ceanglais neamhspleácha iad.

Bíodh a fhios agat cad nach dtugann an iontráil

Ní VPN ag obair é nód infheicthe. Caithfear pacáiste an chliaint a shuiteáil fós, caithfidh an phróifíl a bheith bailí fós, agus caithfidh an tseirbhís tosú fós. Fanann fíordheimhniú, bealaí agus DNS mar obair an chliaint, agus ní cruthúnas é teip ansin go bhfuil iontráil an ghléis mícheart.

Is féidir le systemd srian eile a chur leis. Is féidir le haonad a bhfuil DeviceAllow aige nó polasaí gléasanna cruaite aige rochtain a dhiúltú do nód a sholáthair bainisteoir an choimeádáin. Seiceáil polasaí gléasanna an aonaid nuair a bhíonn an nód ann ach go dtuairiscíonn an tseirbhís earráid cheada, agus athraigh an polasaí sin seachas an coimeádán a leathnú.

Tá plugáil the roghnach agus sainráite. Teastaíonn cosán foinse ó iontráil a bhfuil required=false aici agus is féidir léi teacht chun solais nó imeacht de réir mar a athraíonn gléas an ósta. Oireann an saolré sin do chrua-earraí a thagann agus a imíonn; do ghléas TUN a theastaíonn ón VPN ag am tosaithe, is féidir le hiontráil roghnach an tseirbhís a fhágáil ag tosú sula mbíonn a réamhriachtanas ann.

Fíoraigh infheictheacht, oscailt agus comhéadan san ord sin

Deimhnigh an nód laistigh den choimeádán beartaithe ar dtús. Ba cheart don chosán, do na huimhreacha móra agus beaga agus don úinéireacht teacht le gléas an ósta agus leis an iontráil a chuireas tú leis. Ciallaíonn nód ar iarraidh nár chuir an bainisteoir an iontráil i bhfeidhm, nó gur chuir sé i bhfeidhm ar shampla eile é.

lxc exec vpnbox -- ls -l /dev/net/tun
lxc exec vpnbox -- sh -c 'test -c /dev/net/tun && echo char-device-ok'

Ansin deimhnigh gur féidir le cuntas na seirbhíse é a oscailt. Scarann tástáil ghearr mar an cuntas sin fadhb úinéireachta ó fhadhb seirbhíse. Ar deireadh, cuir an cliant ar siúl agus deimhnigh go bhfeictear comhéadan tolláin; ní chruthaíonn ach an tríú céim sin an cosán iomlán, mar is féidir leis an gcéad dá cheann éirí as an áireamh agus próifíl nó cumas an chliaint fós mícheart.

Taifead an sampla, lipéad an ghléis, foinse an ósta, cosán an aoi agus an cuntas úinéireachta nuair a cheadaítear an t-athrú. Is iad na cúig luach sin an rud a chaithfidh athchruthú, imirce nó athrú próifíle níos déanaí a chaomhnú, agus tá siad i bhfad níos éasca le comparáid ná earráid cheada gan chomhthéacs.