Ní aimsíonn OpenVPN ca.crt cé go lódálann an próifíl

Tosaíonn an tseirbhís, léann sí an phróifíl gan ghearán agus ansin faigheann sí bás ar líne nach bhfuil cuma ghaolmhar uirthi: ní féidir léi ca.crt a oscailt. Níor athraigh aon rud sa teastas, agus tá cosán na próifíle sa chomhad aonaid iomlán. Is é an teaglaim sin an leid. Aimsíonn an cosán a thug tú comhad amháin, agus réitítear na hainmneacha laistigh den chomhad sin in áit eile ar fad, mar sin is féidir le seoladh a bhfuil cuma iomlán cháilithe air a eochracha a léamh ó eolaire nár bheartaigh aon duine.

Is beag cúis atá leis an teip, agus is fiú iad a scaradh in ord: an bun-eolaire a bhí ag an bpróiseas i ndáiríre, comhthéacs seolta na seirbhíse agus na ceadanna nó an bosca gainimh timpeall an chomhaid nuair a bhíonn an cosán ceart. Fágann gach ceann acu rian difriúil — san aonad, sa phróiseas agus ar an gcóras comhad.

Ní bun-eolaire é cosán na próifíle

Samhlaigh próiseas a thosaíonn in /tmp agus a fhaigheann /etc/vpn/prod/tenant-a.ovpn. Laistigh den phróifíl sin, ainmníonn an líne ca ca.crt cosán coibhneasta. Ní athscríobhann aon rud san argóint a d’aimsigh an phróifíl an t-ainm sin, mar sin lorgaíonn an próiseas /tmp/ca.crt agus tuairiscíonn sé comhad atá ar iarraidh.

Is é ord na n-earráidí an chuid mhearbhallach. Déanann OpenVPN an chumraíocht a pharsáil ar dtús agus osclaíonn sé na comhaid dá ndéantar tagairt de réir mar a shroicheann sé iad, mar sin tuairiscítear clóscríobhán sa phróifíl sula dtagtar le haon eochair, agus ní thagann teastas atá ar iarraidh chun solais ach amháin nuair a shroicheann an pharsáil an pointe sin. Mar sin is cruthúnas é próifíl a lódálann go bhfuil an chomhréir ceart, ní go bhfuarthas na comhaid a ainmnítear inti.

Cad a scarann an lámhleabhar: --config agus --cd

Déanann lámhleabhar OpenVPN 2.6 cur síos ar dhá rogha ar leith. Lódálann ceann acu comhad cumraíochta. Athraíonn an ceann eile eolaire an phróisis sula léitear an chumraíocht, an eochair, an script agus comhaid eile, agus éilíonn sé eolaire iomlán gan aon tagairt don cheann reatha.

openvpn --cd /etc/vpn/prod --config tenant-a.ovpn

Is foirm í an ghairm sin, ní treoir chun próifíl duine eile a sheoladh. Is é a thugann sé duit ná cinnteacht: luaitear bun gach ainm coibhneasta sa slabhra san ordú in ionad é a oidhreacht ón sliogán nó ón mbainisteoir a chuir tús leis an bpróiseas. Tá an rogha eile chomh bailí céanna agus go minic níos fearr do sheirbhís: fág an t-eolaire oibre as an áireamh agus déan gach comhad dá dtagraítear iomlán laistigh den phróifíl.

Cibé a roghnaíonn tú, déan iniúchadh ar an slabhra iomlán seachas ar an gcéad teip. Is féidir le próifíl comhad cumraíochta eile a tharraingt isteach, agus réitítear ainmneacha coibhneasta an chomhaid atá curtha san áireamh i gcoinne an eolaire próisis chéanna, ní i gcoinne eolaire an chomhaid a chuir san áireamh iad. Leanann cosáin lóga, comhaid fhíordheimhnithe agus scripteanna cúnta an riail chéanna.

Tosaíonn an tseirbhís in áit eile

Ní chruthaíonn sliogán idirghníomhach in eolaire na próifíle aon rud faoi aonad pacáistithe. Socraíonn bainisteoirí a n-eolaire oibre féin, agus féadann script fillidh é a athrú arís sula ritheann an dénártha. Is é an t-aonad a theipeann an t-aon seoladh ar fiú réasúnaíocht a dhéanamh faoi.

systemctl show -p WorkingDirectory -p ExecStart --value openvpn@tenant-a
ls -l /proc/$(pgrep -n openvpn)/cwd

Taispeánann an dara hordú an t-eolaire atá i seilbh an phróisis bheo i ndáiríre, agus tá sé sin níos iontaofa ná an comhad aonaid nuair a bhíonn fillteán i gceist. Mura n-aontaíonn an dá rud, is é an fillteán do fhreagra agus is seachrán é an t-aonad.

Tar éis an chuardaigh: ceadanna, chroot agus bosca gainimh

Is féidir le bun-eolaire ceart an teachtaireacht chéanna a tháirgeadh fós, toisc gur céimeanna ar leith iad réiteach agus rochtain. Teastaíonn cead forghníomhaithe ón bpróiseas ar gach eolaire tuismitheora agus cead léite ar an gcomhad, agus athraíonn aonad seirbhíse a cheileann cuid den chóras comhad an méid a fheiceann an próiseas ar chor ar bith.

Táirgeann trí leagan coitianta an earráid chéanna. Níl an comhad inléite ach ag root agus an tseirbhís ag tabhairt suas pribhléidí sula n-osclaíonn sí é. Socraíonn an t-aonad radharc cosanta ar an gcóras comhad nach bhfuil eolaire na próifíle san áireamh ann. Ritheann an daemon le chroot, mar sin níl an cosán atá ann ar an óstach ann laistigh den radharc sin.

Déan diagnóis le húinéireacht an chomhaid agus le féiniúlacht an phróisis, ní trí cheadanna a scaoileadh. Malartaíonn eochair phríobháideach a dhéanamh inléite ag cách chun an earráid seo a chiúnú teip ghlórach ar cheann chiúin, agus is í an eochair an chuid den eolaire is lú a theastaíonn uait a nochtadh.

Cruthaigh an ceartú leis an seoladh féin

Atosaigh an t-aonad fíor ó eolaire nach bhfuil baint aige leis an bpróifíl agus breathnaigh an líne tosaithe chéanna. Ansin dearbhaigh go bhfuil an t-eolaire beartaithe i seilbh an phróisis agus é ag rith, agus gurb é an teastas a lódáil sé an ceann a bhfuil súil agat leis.

systemctl restart openvpn@tenant-a
systemctl status openvpn@tenant-a --no-pager
journalctl -u openvpn@tenant-a -n 20 --no-pager

Nuair a n-éiríonn le lódáil na gcosán, is céimeanna ar leith iad fíordheimhniú agus ródú fós lena dteipeanna féin, agus is imscrúdú eile é nasc a éiríonn ach nach dtéann aon trácht tríd. Ní bhaineann an ceartú anseo ach le cén t-eolaire as a dtáinig na comhaid, agus ba cheart é a bheith le feiceáil sa ghairm seachas cuimhneamh air ag an duine a reáchtáil de láimh é go deireanach.

Má dhéanann bainisteoir cumraíochta an phróifíl a imscaradh, cuir an bun-eolaire nó na hainmneacha comhad iomlána ann freisin. Is é ceartú láimhe ar óstach amháin an leagan den fhadhb seo a fhilleann tar éis an chéad atógála eile.