LimitNPROC da TasksMax: me naúrar OpenVPN ke ƙirgawa

Rashin nasarar fara OpenVPN yakan zo ne a matsayin ƙorafi kan albarkatu tare da shawara mai kyau na ɗaga wani iyaka, kuma shawarar tana aiki ne kawai kusan rabin lokuta. A bayan waɗannan gazawa akwai ƙididdiga biyu marasa alaƙa. Ɗaya iyaka ne na kernel kan adadin ayyukan da wani ainihin ID na mai amfani ya mallaka, kuma ana gadonsa lokacin da ake aiwatar da tsari. Ɗayan kuma kasafin cgroup ne wanda manajan sabis ke amfani da shi ga naúra da duk abin da take haifarwa. Karanta ainihin ƙimar kowanne, ga naúrar da ke gudana a zahiri, ya fi arha fiye da zato.

Ƙididdiga biyu, tambayoyi biyu

LimitNPROC shine RLIMIT_NPROC ƙarƙashin sunan systemd, kuma sashin lissafinsa shine ainihin ID na mai amfani. Kowane tsari da wannan mai amfani ya mallaka ana ƙirga shi a cikin jimillar ɗaya, gami da aikin da wasu naúrori, zaman shiga ko aikin mai tsarawa suka fara. Don haka iyakar ba iyaka ce ta kowane sabis ba ko da an saita ta cikin naúrar sabis, kuma sabis da ke haifar da mataimaki ga kowane abokin ciniki yana gasa da duk wani abu da ke gudana ƙarƙashin wannan asusu. Aikin cron mai yawan aiki ƙarƙashin wannan mai amfani zai iya tura naúrar VPN bayan layin da ita kadai ba ta taɓa wucewa ba.

TasksMax yana da wani mai shi: mai kula da pids a kan cgroup na naúrar, wanda ke ƙirga ayyuka maimakon matattara. Zare ayyuka ne, don haka daemon da ke kama da mai zare ɗaya amma yana da rukunin ma'aikata zai iya cinye kasafin da a kallon farko ya fi adadin matattararsa girma sosai. EffectiveTasksMax yana ba da rahoton abin da matakan cgroup ke ƙyalewa da gaske bayan manyan sassan sun faɗi nasu maganar.

Me ya sa keɓewar root ke canza amsar

Kernel ba ya amfani da RLIMIT_NPROC ga tsarin da ke ɗauke da CAP_SYS_RESOURCE ko CAP_SYS_ADMIN, wanda shine dalilin da ya sa naúrar da ke gudana a matsayin root ba tare da barin dama ba ta zama marar iyaka da wannan saitin. Wannan keɓewa ɗaya ce ke bayanin shawarwarin da suka saba wa juna da mutane ke musayar: ɗaga LimitNPROC yana gyara turawar da ta bar dama kuma ba ya yin komai ga wadda ta kasance mai dama. Duba User= da ko daemon yana canza asali bayan farawa kafin ka ba wannan saitin yabo ko zargi. Naúrar mai dama da daga baya ta koma asusun mara dama tana komawa ƙarƙashin iyakar a lokacin canjin, wanda hakan ke sa tarihin gazawar ma ya cancanci karantawa.

Matakin gazawar yana ƙara taƙaita shi. Ƙin a lokacin shirye-shiryen aiwatarwa, kuskuren reshe da daemon kansa ya bayar da ƙin ƙirƙirar aiki a cikin cgroup suna ba da layukan journal daban-daban, kuma ɗaya ne kawai a cikinsu babban kasafi ke amsawa.

Karanta ainihin ƙimomin, ba na harsashi ba

ulimit -u na harsashi mai hulɗa yana bayanin wannan harsashin. Ba ya bayanin abin da manajan sabis ya ba daemon, kuma ba ya cewa komai game da lissafin cgroup. Tambayi naúrar maimakon haka, ta amfani da sunan misalin da ke kan mai masauki ba misali daga jagora ba.

systemctl show [email protected] -p User -p LimitNPROC -p TasksCurrent -p TasksMax -p EffectiveTasksMax
cat /proc/$(systemctl show -p MainPID --value [email protected])/limits | grep -i processes

A cikin kwantena amsar tana buƙatar ƙarin karatu biyu, domin ƙimar ciki ta infinity tana bayanin ra'ayin baƙo ne kawai. Tambayi mai masaukin kwantena iyakar pids ta kanta, kuma tabbatar ko manajan sabis na ciki zai iya ba da wannan mai kula kwata-kwata. Naúra mai shiga ciki ba za ta iya riƙe kasafin da cgroup mahaifiyarta ba ta taɓa bayarwa ba.

Auna girman gyaran kuma tabbatar da shi ƙarƙashin nauyi

Zaɓi lamba daga nauyin aiki ba daga rubutun kuskure ba. Ƙirga matattarar da daemon ke farawa ga kowane abokin ciniki da aka haɗa ko ga kowane kira na mataimaki, ninka da yawan haɗin gwiwa da ake tsammanin turawar za ta ɗauka, ƙara tazara ga zaman gudanarwa, sannan kwatanta wannan adadi da ainihin ƙimomin biyu. Sauya drop-in na gida yana riƙe canjin a iya dubawa kuma yana jure sabbin fakiti, alhali gyara fayil ɗin naúra da aka aika yana ɓoye canjin har sai sabuntawa ta gaba ta maye gurbinsa. Rubuta lissafin kusa da sauyin, domin mutum na gaba da zai ɗaga ko saukar da shi yana buƙatar zato ba adadin ƙarshe ba.

Ana amfani da canje-canjen kasafi a lokacin aiwatarwa, don haka sake lodawa shi kaɗai ba ya canza girman matattarar da ke gudana tuni. Sake farawa naúrar ta yanayin rayuwarta na yau da kullum, ka yarda da katsewar zaman, sannan ka sake karanta ƙididdigan a sabon misali.

sudo systemctl daemon-reload
sudo systemctl restart [email protected]
systemctl show [email protected] -p TasksCurrent -p EffectiveTasksMax
sudo journalctl -u [email protected] -b --no-pager | tail -n 20

Abin da ke tabbatar da gyaran shine naúrar da aka sake farawa wadda adadin ayyukanta ke ƙasa da duka iyakoki biyu yayin da take ɗauke da nauyin da aka yi niyya, tare da journal da ba ya ƙara ba da rahoton ƙarewar ayyuka ko reshe a wannan matakin. Riƙe lambobin kafin da bayan tare da canjin domin bincike na gaba ya fara daga awo ba daga wannan shawara ba. Idan adadin har yanzu ya kai iyakar, lissafin ya yi kuskure ba iyakar ta zama ƙarama bisa kuskure ba, kuma wannan bambancin ya cancanci saninsa kafin sake farawa na gaba.