Bayan saukar da haƙƙoƙi: waɗanne fayilolin OpenVPN ne har yanzu suke aiki?

Dogon lokacin aiki yana tabbatar da cewa farawa ta yi nasara da haƙƙoƙin da daemon ɗin yake da su a wannan lokacin kawai. Rashin da suke da muhimmanci a nan suna zuwa daga baya: sabon abokin ciniki ya haɗu, an maye gurbin jerin soke, skript mai taimako yana buƙatar rubuta fayil. Kowanne daga cikinsu buɗewa ne sabo da aka yi da asusun mara haƙƙi, da tambayarsa ta izini da saƙonsa na kuskure. Hukunce-hukunce uku ne ke raba saitin da ke ci gaba da aiki da wanda zai gaza a taron na gaba.

Raba abin da aka loda da wuri da abin da ake buɗewa daga baya

Kwatanci shine riƙon kan bayanin fayil da aka buɗe, kuma an kayyade yanayin shiga lokacin da aka ƙirƙiri wannan bayanin. Canza mai amfani da tsari daga baya ba ya rufe riƙon, shi ya sa fayil ɗin maɓalli da aka karanta a matsayin root ke ci gaba da aiki bayan saukar. Yanayin ma ba ya canzawa: riƙon da aka buɗe don karatu ba ya zama mai iya rubutu, kuma ba a soke riƙon mai iya rubutu don kawai asusun ya rasa haƙƙinsa a kan hanyar. Waɗannan gaskiyoyi biyu suna bayyana mafi yawan halin mamaki a cikin waɗannan rahotanni.

Sauran rabin shine ƙwaƙwalwa. Daemon na iya nazarin takardar shaida, riƙe kayan da aka nazarta sannan ya rufe fayil ɗin; abin da ke ci gaba da amfani bayanai ne, ba buɗaɗɗen fayil ba. Don haka zirga-zirgar da ke ci gaba ba ta tabbatar da cewa kwatanci a buɗe yake ko kuma sunan hanyar ana iya isa gare shi. Tana tabbatar da cewa an sami kayan da ake buƙata don zaman na yanzu a baya.

Buɗewa daga baya wata ma’amala ce daban. Tana gudana da takardun shaidar na yanzu, yanayin tsaro na yanzu da kallon hawan na yanzu, don haka hanyar da ake iya karantawa a lokacin farawa ana iya ƙi ta a haɗin na gaba. Juyawa yana ƙara tarko: rubuta sabon fayil a kan wannan sunan hanyar yana barin riƙon da ke akwai a manne da tsohon abu, don haka sake loda zai iya kamar ya yi nasara alhali daemon ɗin har yanzu yana amfani da abin da ya gabata. Kwatanta inode da tsarin ke riƙe da na kan faifai kafin ka yarda juyawa ya yi tasiri.

Faɗi karatun lokacin aiki guda uku da lokacin da kowanne ke faruwa

Yawancin lokaci ana buɗe albarkatu uku da wuri mai nisa bayan farawa, kuma suna gaza a lokuta daban-daban. Ana karanta fayil ɗin saitin takamaiman abokin ciniki lokacin da wannan abokin ciniki ya haɗu, don haka zai iya karyewa ga mai amfani ɗaya yayin da sauran ke ci gaba. Ana duba bayanan soke yayin tabbatar da ɗan’uwa da kuma lokacin da aka maye gurbin fayil ɗin. Ba a taɓa babban fayil na wucin gadi sai lokacin da skript ko ƙari ya rubuta wani abu.

Babu ɗaya daga cikin ukun da ke cikin hanyar farawa, shi ya sa uwar garken da ya kasance lafiyayye tsawon makonni zai iya gaza a haɗin na gaba. Rukunin yana kuma ambaton mai gyaran: biyun farko izinin karatu ne a kan saitin ƙarƙashin asusun daemon, na uku kuma wuri ne mai iya rubutu da ƙaramin manufa.

persist-key yana amsa tambaya mafi ƙunci fiye da yadda mutane da yawa suke tsammani. Yana riƙe fayil ɗin maɓalli a buɗe a cikin sake saitin SIGUSR1 da ping-restart da aka rubuta, kuma ba ya yin komai ga fayilolin CCD, bayanan soke, kayan aikin taimako ko cikakken sake kunna tsari. Waɗannan har yanzu suna bin nasu hanyoyin buɗewa, ƙarƙashin duk asusun da ke gudana a lokacin.

Tabbatar da asusun da kallon da yake da shi a zahiri

Tambayi daemon ɗin da ke gudana wane asusu yake amfani da shi maimakon amincewa da fayil ɗin unit, sannan kwatanta amsar da abin da unit ɗin ya tsara. Rashin daidaituwa shine abu na farko da za a warware, domin kowane binciken izini na gaba yana gudana a matsayin wanda tsarin yake a zahiri. Sannan bi hanyar sashi-sashi; ana auna wucewa a kowane mataki, don haka fayil ɗin da ake iya karantawa a cikin babban fayil da ba za a iya wucewa ba ya kasance ba za a iya karantawa ba. Yanayin fayil na ƙarshe shine tambaya ta ƙarshe, ba ta farko ba.

Wuraren suna da akwatunan yashi na sabis suna ƙara iyakoki da mallaka da bitan yanayi ba su bayyana ba. Hanyar da ake gani a cikin shell ɗinka na iya kasancewa babu ko karatu kawai a cikin chroot, wurin sunan hawa ko unit da ke ɓoye manyan fayilolin gida. Modulolin tsaro suna ƙara wani Layer, don haka fayil ɗin da ya yi kama da ana iya karantawa ana iya ƙi shi lokacin da aka buɗe shi.

ps -o user:12,pid,args -C openvpn
systemctl show -p User -p Group -p ProtectHome -p RootDirectory [email protected]
sudo -u openvpn namei -l /etc/openvpn/ccd/alice

Karatu mai nasara a cikin shell ɗin mai gudanarwa ba ya gwada ɗaya daga cikin waɗannan haɗaɗɗun sharuɗɗa. Gudanar da binciken a matsayin asusun daemon, da wannan wurin suna da akwatin yashi, ko kuma ka yarda sakamakon yana bayyana shell ɗinka ba uwar garken ba. Umarni na uku shine sigar mai arha na wannan gwajin: yana buga yanayin kowane sashi kuma yana gaza a farkon wanda asusun daemon ba zai iya wucewa ba.

Ba da rubutun lokacin aiki a cikin babban fayil nasa

Karatu rabin lissafin ne kawai. Skript mai taimako na iya buƙatar ƙirƙirar fayil ɗin matsayi, ƙari na iya buƙatar rubuta yanayi kusa da saitin sa, kuma waɗannan rubuce-rubucen ba a rufe su ta hanyar mai da itacen saitin mai iya rubutu. Ba da takamaiman babban fayil izinin rubutu da aikin sa ke buƙata, da mai shi da yanayin da za ka iya bayyanawa. Fi son shiga karatu kawai ga duk abin da ake karantawa kawai.

Kaɗa izinin maɓalli na sirri dabam da fayilolin manufa. Maɓallin da dole a sake karantawa bayan sake saiti yana da buƙata daban da fayil ɗin abokin ciniki da ake karantawa a kowace haɗi, kuma yanayi ɗaya mai sassauci ga duka biyu yana ba da fiye da abin da matsalar ke buƙata. Asusun daemon na musamman da ƙunƙuntaccen mallaka ya fi sauƙin dubawa fiye da babban rukuni. Lokacin da maɓallin dole ya jimre da sake saiti, persist-key yana kawar da sake karantawa maimakon faɗaɗa babban fayil ɗin.

Yanke shawara daga taron da za ka iya sake haifarwa

Ramin da ke raye yana tabbatar da hanya ɗaya a cikin lambar. Taron da ke buƙatar fayil ɗin shine gwajin da ya shafi buɗewar da kake damu da ita, ko sabon haɗin abokin ciniki ne, ko fayil ɗin soke da aka maye gurbinsa, ko sake saiti mai laushi da aka yarda, ko sake kunnawa da aka shirya. Zaɓi taron, gudanar da shi, ka riƙe kuskure na farko maimakon na ƙarshe.

Don sake saiti mai laushi, sigina ɗaya da log ɗin unit ɗin suna nuna ko an sake karanta maɓallin. Aika siginar, sannan karanta layukan ƙarshe da unit ɗin ya rubuta:

systemctl kill -s SIGUSR1 [email protected]
journalctl -u [email protected] -n 40 --no-pager

Kada ka yanke hukunci cewa daemon ɗin da aka lalata ba zai iya canza fayiloli kuma ba don kawai an saukar da haƙƙoƙi. Abin da zai iya har yanzu ya dogara da takardun shaidar da suka rage, iyawarsa, manyan fayilolin da zai iya rubutu a ciki da duk wani riƙo mai iya rubutu da yake da shi har yanzu. Rage haƙƙoƙi yana ƙuntata iko, kuma lissafin buɗewar lokacin aiki shine ke nuna har zuwa ina. Rubuta wannan iyaka kusa da saitin domin mutum na gaba kada ya sake gano shi.