Az SSHFS-csatolások a felhasználóhoz tartoznak, nem a VPN-horoghoz

A feltevés könnyen magáévá tehető és nehezen vehető észre: a VPN-csatlakozási horog rootként fut, tehát az általa indított csatolást is rootként kellene elrendezni. Ez az érvelés olyan csapatkönyvtárat hoz létre, amelyet az asztali felhasználó nem tud megnyitni, olyan csatolást, amely eltűnik az indító szolgáltatás újraindításakor, és olyan hitelesítési kérést egy olyan környezetben, ahol senki sem tud rá válaszolni. A horog és a csatolás két különböző feladat, és csak az egyiküknek van szüksége jogosultságra.

A mítosz: a hálózati jogosultság csatolási jogosultságot jelent

Az interfész felemelése és a fájlszerverhez való hitelesítés egymástól független képességek, és általában különböző fiókokhoz tartoznak. A VPN-összetevőnek elegendő jogosultságra van szüksége az útvonalak és interfészek módosításához. A fájlszerver-fióknak kulcsra vagy jelszóra, a gazdagépkulcsról szóló döntésre és egy otthoni könyvtárra van szüksége a csatoláshoz. A második feladat hitelesítő adatainak átadása az első identitásnak az az út, amelyen egy hálózati szolgáltatás végül a felhasználó kulcsát tartja.

Egyetlen felhasználós laptopon ezek ugyanaz a fiók lehetnek, és ez a véletlen nem tervezés.

Amint egy jogosultsággal rendelkező horog elvégzi a csatolást, három dolog csendben rosszra fordul. A csatolás root tulajdonában van, a felhasználó ügynöke hiányzik abból a környezetből, és a hibák a hálózati szolgáltatás naplójában jelennek meg, nem abban a munkamenetben, amelyet érdekel. Ezek egyikét sem javítja a csatolási parancs kapcsolóinak hozzáadása. Az javítja őket, ha a feladatot annak a munkamenetnek adjuk, amely az identitást birtokolja.

Miért a bejelentkezett felhasználóé a csatolás

Az SSHFS-csatolás olyan FUSE-csatolás, amely az azt létrehozó folyamat tulajdonában van, és a hozzáférés ezt a tulajdont követi, nem a szülőkönyvtár módját. A referenciadokumentáció olyan hétköznapi felhasználót javasol, akinek a csatolási pontja a tulajdonában van, és pontosan ezért kényelmetlen a root folyamat által létrehozott csatolás mindenki másnak. A csatolási pont jogosultságának módosítása nem javítja meg, mert az akadály maga a csatolás tulajdonosa.

Kezdje kézi alapvonallal a felhasználói munkameneten belül: létező üres csatolási pont az otthoni könyvtár alatt, engedélyezett fiók a kiszolgálón, és a jóváhagyott folyamatán keresztül már ellenőrzött gazdagépkulcs. Csatolja kézzel egyszer, és használja, mert ez bizonyítja, hogy az identitás útvonala működik, mielőtt bármilyen automatizálás létezne. Jegyezze fel, mire volt szüksége a parancsnak: a fiók nevére, az export útvonalára és a privát gazdagépnévre. Tartsa meg pontosan ezt a környezetet az automatizált változathoz, mert egy működő kézi csatolás az a specifikáció, amelyet az eseményindítónak reprodukálnia kell.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

A sorban szereplő minden nevet és útvonalat helyőrzőnek tekintsen, beleértve a fiókot és az exportot. Egy VPN-fiók jelszava nem automatikusan a tárolófiók hitelesítő adata.

Mit kérjen az eseményindító a munkamenettől

A támogatott elrendezés kérés a hálózati eseménytől a felhasználói munkamenethez, nem kölcsönvett hitelesítő adat. Szűkítse az eseményindítót az általa értett kapcsolatra, név vagy UUID szerint, ne pedig bármely interfészre, amelyet véletlenül tun0-nak hívnak. Ez az egyetlen változtatás megakadályozza, hogy egy második profil, egy tesztalagút vagy egy kolléga hibakeresési munkamenete csatolást indítson.

A munkamenet oldali műveletnek meg kell keresnie a szándékolt meglévő csatolást, majd egyetlen korlátozott kísérletet tennie.

Ne próbálkozzon újra minden lekérdezésnél, és ne kérjen folyamatosan hitelesítő adatot, miközben a kiszolgáló elérhetetlen, mert mindkettő egy átmeneti kiesést fiókzárolássá változtat. A felügyelet nélküli szolgáltatás külön tervezés, saját jóváhagyott hitelesítő adatokkal és saját gazdagép-ellenőrzési elrendezéssel a saját végrehajtási környezetében, és nem támaszkodhat arra, hogy valaki feloldotta a grafikus ügynököt. Döntse el, melyiket építi a kettő közül, mielőtt kiválasztja, hol él a kód. Az itteni zavar nagy része abból ered, hogy az egyiket építjük, és a másikat várjuk.

A leválasztás fájlrendszer-esemény, nem horogesemény

A tervezett leválasztásnak be kell fejeznie a fájlműveleteket, és a csatoló felhasználó munkamenetéből le kell választania az adott fájlrendszertípushoz támogatott paranccsal. A leválasztás kikényszerítése, hogy a horog gyorsan visszatérjen, az az út, amelyen az alkalmazások elveszítik a munkakönyvtárukat, a felhasználók pedig az automatizálásba vetett bizalmukat. Egy foglalt csatolásnak alkalmazásszintű döntésre van szüksége, például a fájl bezárására vagy az írás leállítására, nem erősebb jelre. A horog kilépési állapota nem az, amit optimalizálunk.

fusermount3 -u "$HOME/mnt/team"

A váratlan elvesztés más eset, és az SSHFS dokumentálja, hogy a megszakított művelet blokkolhat, miközben a szállítás újra kapcsolódik.

Az újracsatlakozási opció helyreállítja a szállítást, és az ezen újracsatlakozás előtt megnyitott fájlok továbbra is hibákat adhatnak vissza, és újra meg kell őket nyitni. A visszatérő VPN semmit sem bizonyít a korábbi fogópontokról vagy a nem mentett munkáról. Válassza ki a kieséskor kívánt viselkedést — szüneteltetés, hiba megjelenítése vagy szándékos újracsatolás —, és tesztelje eldobható fájlokkal, mielőtt bármi függne tőle.