openvpn3 session-start-ը անտեսում է ձեր հավատարմագրերի ֆայլը

Միացե՛ք 2.x հաճախորդով և պրոֆիլը աշխատում է. տվե՛ք նույն ֆայլը 3.x հաճախորդին և այն կանգ է առնում գաղտնաբառի հուշման վրա։ Փոխանցե՛ք --auth-user-pass creds.txt-ը openvpn3 session-start-ին և արդյունքը նույնն է, քանի որ նոր հաճախորդը չունի ֆայլը կարդացող փուլ։ Մերժումը դիտավորյալ է. հավատարմագրերը պատկանում են նստաշրջանին, և նստաշրջանը ստեղծում է ծառայությունը, ոչ թե ձեր տերմինալի գործընթացը։ Ընտրե՛ք ինտերակտիվ հուշման և ինքնաբեռնման օգնականի միջև և իմացե՛ք, թե ինչ է պահում յուրաքանչյուրը։

Ինչու պահված ֆայլը տեղ չունի գնալու

Նոր ձևավորման մեջ կոնֆիգուրացիայի կառավարումը և նստաշրջանների կառավարումը առանձին ծառայություններ են, որոնք խոսում են համակարգային ավտոբուսով։ Հենց այդ բաժանումն է թույլ տալիս սովորական օգտատիրոջը սկսել նստաշրջան՝ առանց արտոնյալ դեմոնի, որը նրա փոխարեն կկարդա պաշտպանված գաղտնաբառի ֆայլ։ Ֆայլի վրա հիմնված հավատարմագրերը տեղ չունեն այդ մոդելում, քանի որ դեմոնի կողմում չկա մեկնարկ, որը կկարդա դրանք։ Մերժումը ճարտարապետության հետևանք է, ոչ թե բացակայող հատկություն։

Արժե անվանել հին օրինաչափությունը, որպեսզի ավելի հեշտ լինի մոռանալ այն. պրոֆիլը հղում է անում հավատարմագրերի ֆայլին, և դեմոնը կարդում է այն, երբ թունելը սկսվում է։ Նոր մոդելում հավատարմագրերը պատկանում են նստաշրջանին և տրամադրվում են, երբ այդ նստաշրջանը սկսվում է։ openvpn3 session-start --config work.ovpn-ը հարցնում է դրանք, իսկ --auth-user-pass creds.txt-ը մերժվում է, քանի որ այդ ուղու վրա ոչինչ չէր բացի ֆայլը։ Ձեր գտած 2.x բաղադրատոմսերից յուրաքանչյուրը ենթադրում է փուլ, որն այլևս չկա։

Կոնֆիգուրացիան և կայքի տեղական կարգավորումները նույնպես բաժանված են, ինչը բացատրում է երկրորդ անակնկալը։ Պրոֆիլը կարող է ամբողջական թվալ, մինչդեռ դրա ստեղծած կապակցումը չունի երթուղավորման և լուծիչի կոնֆիգուրացիա։ Այդ մասերը կիրառվում են որպես կայքի տեղական կարգավորումներ՝ ներմուծված ֆայլից առանձին։

Հուշման ուղին և այն նստաշրջանը, որ թողնում է

Գաղտնաբառը նստաշրջանի մեկնարկին տրամադրելը նախատեսված աշխատահոսքն է։ Հաճախորդը հարցնում է մեկ անգամ, հանձնում է հավատարմագրերը նստաշրջանի հետին մասին և շարունակում.

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

Այդ ուղով ոչինչ չի գրվում սկավառակի վրա։ Նստաշրջանը շարունակում է աշխատել տերմինալի փակվելուց հետո, ինչը զարմացնում է նրանց, ովքեր սպասում են, որ գործընթացը կմեռնի իրենց կեղևի հետ։ Հենց դա է նստաշրջանների կառավարումը ծառայության փոխանցելու իմաստը։ Նստաշրջանը ապրում է ավելի երկար, քան այն պահանջող տերմինալը, և այն պետք է բացահայտ կանգնեցնել։

Աշխատակայանի համար, որի առջև մարդ է, սա նաև ամենաապահով տարբերակն է, քանի որ պահված գաղտնիք չկա պաշտպանելու կամ մոռանալու։ Այն ոչ պիտանի է միայն այնտեղ, որտեղ մուտքագրող չկա։

Ավտոմատացում առանց ստեղնաշարի մոտ մարդու

Այնտեղ, որտեղ մեքենան պետք է միանա առանց մարդու, նախագիծը տրամադրում է openvpn3-autoload-ը։ Այն կարդում է պրոֆիլների գրացուցակը և յուրաքանչյուր պրոֆիլի համար համապատասխան նկարագրիչ, իսկ նկարագրիչը տրամադրում է հավատարմագրերը պարզ տեքստով։ Օգնականը առանձին բինար ֆայլ է, սովորաբար /usr/sbin/openvpn3-autoload-ում, ոչ թե session-start-ի դրոշակ։ Այն կարգավորելը նշանակում է ստեղծել գրացուցակը, պատճենել պրոֆիլը նկարագրիչի սպասած անվան տակ և գրել նկարագրիչը։

Յուրաքանչյուր օգտատիրոջ կարգավորումն այսպիսի տեսք ունի և կատարվում է այն հաշվով, որը կտիրապետի նստաշրջանին։ Գրացուցակի ռեժիմը դուրս է թողնում մյուս տեղական օգտատերերին.

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Նկարագրիչը անվանում է հավատարմագրերը և պահանջում ինքնաշխատ մեկնարկ։ Պահե՛ք գաղտնաբառի արժեքը տարբերակների կառավարումից դուրս.

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Այնուհետև մեկ անգամ կանչե՛ք օգնականին և համոզվե՛ք, որ նստաշրջանը հայտնվում է։ Երկրորդ հրամանը ստուգումն է, ոչ թե կարգավորման ևս մեկ քայլ.

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

Բեռնման ժամանակ openvpn3-autoload.service անվամբ փաթեթավորված միավորը օգտագործում է համակարգային գրացուցակը՝ /etc/openvpn3/autoload-ը, ոչ թե յուրաքանչյուր օգտատիրոջը։ Այդ տեղը պահանջում է root սեփականություն և ավելի խիստ ռեժիմ, և նկարագրիչը դեռ պահում է գաղտնաբառը բաց տեքստով։ Փոխզիջումը բացահայտ է. գաղտնաբառն այժմ սկավառակի վրա է, ուստի վերաբերվե՛ք այդ գրացուցակին որպես գաղտնիքի, բացառե՛ք այն հոսթից դուրս պահուստներից և ընտրե՛ք ինտերակտիվ ուղին, երբ մարդ ներկա է։

Ավտոբուսի խափանումներ, որոնք նման են գաղտնաբառի խափանումների

Հավատարմագրերին վերագրվող որոշ խափանումներ ամենևին այդպիսին չեն։ Ծառայության ակտիվացման ուղին նշող թույլտվության սխալը նշանակում է երկուսից մեկը. հետին մասը չի աշխատում, կամ կանչողը չունի այն ակտիվացնելու թույլտվություն։ Ոչ մի պրոֆիլի խմբագրում չի փոխի դրանցից ոչ մեկը։ Ստուգե՛ք ծառայության վիճակը և տրամադրված ավտոբուսի քաղաքականությունը՝ նախքան կոնֆիգուրացիային դիպչելը։

Ստորև հրամանները բաժանում են երկուսը։ Առաջինը հաղորդում է՝ աշխատում է արդյոք հետին մասը, երկրորդը ցույց է տալիս վերջին ավտոբուսի սխալները.

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Մյուս հաճախակի սխալ ընթերցումը նստաշրջանն է, որը հայտնվում և անմիջապես անհետանում է։ Այդ օրինաչափությունը սովորաբար նշանակում է, որ կայքի տեղական կարգավորումները երբեք չեն կիրառվել, այնպես որ թունելը բարձրացել է առանց այն օգտակար դարձնող երթուղավորման և լուծիչի փոփոխությունների։ Կարդացե՛ք հաջորդականությունը, ոչ թե վերջին տողը. արդյոք նստաշրջանը ստեղծվել է, արդյոք այն հասել է միացված վիճակի և արդյոք այն վերապրել է՝ երեք առանձին փաստեր են։

Երբ հին հաճախորդը դեռ օգտագործվում է

2.x հաճախորդը դեռ ընդունում է հավատարմագրերի ֆայլ, և բանալիների կապոցը կարող է պատասխանել նրա հուշմանը՝ առանց գաղտնիքը երբևէ սկավառակ հասնելու։ Փաթաթան լուծում է գրառումը, ուստի ֆայլը անվանում է որոնումը, ոչ թե գաղտնաբառը։ Այս դասավորությունը կախված է բացված բանալիների կապոցից, ինչը չի կարող ապահովել մուտքի նստաշրջան չունեցող կոնտեյները կամ այն միավորը, որը սկսվում է մինչև որևէ մեկի մուտք գործելը։ Այնուհետև որոնման գործիքը հաղորդում է հավաքածուի մասին, որին չի կարող գրել, ուստի սխալը նման է հավատարմագրերի խափանման, մինչդեռ դա բանալիների կապոցի խափանում է։

Նախքան դրանցից որևէ մեկը կառուցելը, ստուգե՛ք՝ արդյոք պրոֆիլի keepalive կարգավորումը ընդհանրապես վերացնում է վերսկսելու անհրաժեշտությունը։ Վերևում մնացող նստաշրջանը երբեք չի հասնում այն հուշմանը, որը փորձում եք ավտոմատացնել։