OpenVPN push-peer-info: yi wa abokan ciniki alama ba tare da ba da izini ba

Alamomin turawa su ne dalilin da ya sa mutane suka juya ga wannan fasalin: kowane haɗi ya kamata ya ɗauki wani abu kamar wuri ko rawar, kuma uwar garke ta karanta shi ba tare da ƙirƙirar wani nau'in shaidar shiga na biyu ba. OpenVPN na al'umma yana da wannan hanyar tuni, kuma tana da ƙanƙanta. Bangaren da ke ciwo shi ne tsammanin. Sanya wani canji na yau da kullum a bayanin martabar abokin ciniki ba ya yin komai a uwar garke, kuma darajar da ta iso tana tabbatar da cewa abokin ciniki ne ya aika ta kawai.

Wannan jagorar aiki ce don hanyar da ke aiki, matakin tabbatarwa da ke nuna abin da ya iso da gaske, da kuma ja da baya wanda ba ya barin ƙugiya da ba a kammala saitin ta ba. Babu wani abu a nan da ke buƙatar sabuwar takardar shaida, sabon plugin ko faɗaɗa yarjejeniya.

Sanya canjin kuma kunna hanyar

Layuka biyu ne ke yin aikin a bayanin martabar abokin ciniki, kuma duka biyun ana buƙata. Idan babu na farko, babu abin da za a aika; idan babu na biyu, abokin ciniki ba ya bayar da bayanin takwaransa kwata-kwata. Tsari ba ya da muhimmanci, kuma ya kamata a san hakan domin layukan biyu sukan ƙare a sassa daban-daban na bayanin martaba da aka ƙirƙira. Abin da ke da muhimmanci shi ne duka biyun su tsira daga duk abin da ya sake rubuta bayanin kafin abokin ciniki ya karanta shi.

setenv UV_DEPLOY field-support
push-peer-info

Ƙaramin UV_ ba ado ba ne. Canjin DEPLOY na yau da kullum yana zama na gida a cikin tsarin abokin ciniki kuma ba a taɓa tura shi ba, yayin da sigar da ke da ƙarami ita ce sararin suna da yarjejeniya ta keɓe don filayen da mai amfani ya ayyana. Ka bar sauran bayanin da aka amince da shi ba tare da an taɓa shi ba kuma ka tabbatar da cewa ginin abokin ciniki da kake turawa yana goyon bayan umarnin biyu kafin turawa.

Duba ɗaya mai amfani ya kamata ya kasance a nan ba a ƙarshe ba: tabbatar da cewa umarnin yana isa ga binary na abokin ciniki kuma wani mai nade ba ya haɗiye shi. Abokin ciniki mai hoto wanda ke ƙirƙirar nasa layin umarni, ko kuma hanyar gudanarwa da ke sake loda bayanin da aka adana, na iya jefar da layukan da bai gane ba. Idan uwar garke ba ta ganin komai, wannan ita ce wuri na farko da za a duba.

Karanta filin daga ƙugiyar uwar garke

A gefen uwar garke, ana tabbatar da bayanin takwaran da aka karɓa kuma ana shigar da shi cikin muhallin tafiyar aikin haɗin, kuma wannan ne ke sa shi iya karantawa daga ƙugiya ba tare da wani aikin yarjejeniya daga gare ka ba. Uwar garke ba ta buƙatar nazarin tashar sarrafawa ko adana wani abu dominka; darajar tana nan kawai yayin da ake kafa haɗin. Ƙaramin rubutun client-connect wanda ke rubuta alamar kusa da sunan da aka tabbatar yana kama da wannan.

#!/bin/sh
# /etc/openvpn/server/hooks/label.sh
printf '%s %s\n' "$common_name" "${UV_DEPLOY:-unset}" \
  >> /var/log/openvpn/deploy-labels.log

Karanta canjin ta hanyar muhalli maimakon nazarin log ɗin, kuma koyaushe ba shi darajar tsoho. ${UV_DEPLOY:-unset} yana riƙe rubutun yana aiki ga abokan ciniki waɗanda ba sa aika filin, wanda shine yanayin al'ada yayin turawa a mataki-mataki. Kada ka zuba dukan muhalli cikin log don neman sunan; yana ɗauke da fiye da alamar, ciki har da darajojin da ba ka yi niyyar adanawa ba.

Gudanar da rubutun da hannu zai ba da rahoton unset ga komai, domin harsashin hannu ba ya ɗauke da muhallin haɗin. Wannan ba kuskure ba ne a cikin rubutun kuma ba hujja ba ce cewa filin ya ɓace. Gwada shi ta hanyar haɗi na gaske, wanda shine kawai mahallin da canjin yake wanzuwa.

Tabbatar da abin da ya iso da gaske

Haɗa abokin ciniki ɗaya tare da alamar ɗaya kuma ba tare da ita ba, sannan karanta fayil ɗin. Ma'auratan su ne gwajin: layi ɗaya ya kamata ya ɗauki darajar ɗayan kuma ya ɗauki tsoho, kuma duka biyun ya kamata su ambaci ainihin asalin da aka tabbatar da kake tsammani.

tail -n 5 /var/log/openvpn/deploy-labels.log
# field-support deployed-client-07
# unset         legacy-laptop-02

Waɗannan layukan sharhi sifar fitarwa ne, ba kwafin uwar garkenka ba; karanta naka fayil. Idan abokin ciniki na biyu ma yana nuna daraja, an saita canjin wani wuri a cikin muhalli, kuma kana karanta tsohon saiti maimakon filin takwaran.

Duba log ɗin uwar garke don haɗin kuma. Bayanin takwaran na iya bayyana a can, wanda yake da sauƙi don gyara kuskure kuma dalili ne na riƙe darajojin marasa ban sha'awa: babu sunayen mutane, babu lambobin tikiti, babu abin da ba za ka so mai karanta log ya gani ba.

Ɗauki alamar a matsayin da'awa, ba asali ba

Duk wanda zai iya gyara bayanin martabar abokin ciniki zai iya canza alamar, kuma kasancewar an tabbatar da ramin ba ya sa alamar ta zama mai iko. Sufuri yana kare darajar yayin tafiya; ba ya tabbatar da da'awar. Izini har yanzu na asalin da aka tabbatar ne da kuma rikodin rajista da uwar garke ta mallaka, ana kwatanta alamar da wannan rikodin idan ya zama dole.

Wannan bambanci ne ke ƙayyade inda za a iya amfani da alamar. Kyawawan amfani su ne karkatar da zama zuwa fayil ɗin log da ya dace, zaɓar ƙungiyar nuni a cikin dashboard, ko yi wa zamar tallafi alama domin mutum ya same ta daga baya. Munanan amfani su ne shigar da na'ura cikin subnet, zaɓar manufar firewall, ko yanke shawarar wane bayanan abokin ciniki zama za ta iya karantawa.

Tabbatar da darajar kafin ta isa hanya, tambaya ko umarnin harsashi. Jerin izini na igiyoyin da ake tsammani ya isa ga alamar turawa, kuma ba ya ciyar da komai. Kada ka taɓa shigar da igiyar da takwara ta bayar cikin layin umarnin harsashi, kuma ka iyakance duk wani lura da aka adana ga zama maimakon adireshin rami da abokin ciniki na gaba zai sake amfani da shi.

case "${UV_DEPLOY:-}" in
  field-support|field-qa|lab) : ;;
  *) UV_DEPLOY=unknown ;;
esac

Mayar da shi da tsabta

Cire fasalin shine gogewa biyu da tabbatarwa ɗaya. Cire layukan setenv da push-peer-info daga bayanin martabar abokin ciniki, sannan cire ko kashe ƙugiyar da maƙasudin log ɗinta a uwar garke.

grep -rn 'UV_DEPLOY\|push-peer-info' /etc/openvpn/
tail -n 3 /var/log/openvpn/deploy-labels.log

Sake haɗa abokin ciniki ɗaya bayan haka kuma tabbatar da cewa layin log ɗin ya daina bayyana. Ƙugiyar da ke ci gaba da yin aiki bayan canjin bayanin yawanci wani bayani na biyu ne da har yanzu aka tura zuwa na'urar gwaji, kuma samun sa yanzu ya fi sauƙi fiye da samun sa yayin dubawa.

Abin da ya rage a ƙarshe shine ƙaramin yanki mai iyaka na bayanan zama wanda asalinsa aka rubuta: abokin ciniki yana da'awar sa, uwar garke tana rubuta shi, kuma babu wani abu game da shiga da ya dogara da shi. Wannan shine sigar fasalin mai amfani, kuma ba ya buƙatar sabuwar shaidar shiga don isa wurin.