Fyrirfram búið tun í OpenVPN: samanburður á tveimur eignamódelum

Einhver bjó til tun1 fyrirfram, sniðið segir dev tun1, og tengingin festist samt ekki. Tilvist nafnsins á hýsilnum segir næstum ekkert, því festingin fer eftir nafnrýminu, tegund tækisins, hver á tengilinn og hvað púkan má gera. Endurnýting tækis þvingar líka ákvörðun sem sjálfgefin uppsetning felur: hvaða hluti skrifar heimilisföngin og leiðirnar. Bilunarmátar tveggja fyrirkomulaganna eru miklu ólíkari en uppsetningarlínurnar, svo ákveðið fyrir breytingu á sniði.

Nafn er ekki festing

dev tun1 biður OpenVPN um það nafngreinda viðmót og hefðbundnar notendarýmisbyggingar reyna að opna það. Ef nafnið fylgir ekki venjulegu tun- eða tap-mynstri þarf sniðið líka samsvarandi dev-type, því tegundin er aldrei leidd af streng. TAP-tæki er ekki TUN-tæki með annarri merkingu: að festa rangt tæki mistekst annaðhvort strax eða býr til tengil sem ber ramma sem enginn á von á. Athugið tegundina fyrir allt annað, því hver síðari athugun gerir ráð fyrir að báðir aðilar séu sammála um hana. Héðan krefjist þess að ferlið geti raunverulega opnað tækið, ekki bara séð það.

dev tun1
dev-type tun

Netviðmótið og /dev/net/tun eru ólík hlutir: annað er tengill innan nafnrýmis, hitt er stafatækið sem forrit í notendarými notar til að festast. Linux TUN/TAP skjölunin lýsir þeirri festingarleið og eignarreglum fyrir varanleg tæki. Rótarskel sem getur keyrt ip link sannar aðeins að skelin hafi réttindi, ekki að púkan hafi þau. Eign tækishnútsins, hæfnisamstæða þjónustunnar og notandinn sem hún keyrir undir verða öll að stemma áður en opnunin tekst.

Tæki sem er til og opnast ekki er eignarvandamál, ekki leiðavandamál. Meðhöndlið það þannig við kembiforritun, annars fer síðdegið í að lesa leiðatöflur sem voru aldrei vandamálið.

Hver stillir tengilinn: tvö eignamódel

Í fyrra módelinu stillir OpenVPN heimilisföng og leiðir sem hluta af því að rísa tenginguna. Það er sjálfgefin hegðun og auðveldast að hugsa, því einn hluti býr til stöðuna og fjarlægir hana svo aftur. Í seinna módelinu á utanaðkomandi stjóri viðmótið, og ifconfig-noexec stöðvar OpenVPN frá að keyra heimilisfangastillingarskipanir sínar og afhendir færibreyturnar skriftum í staðinn. Þá verður stjórinn sjálfur að beita réttri staðbundinni og jafningjauppsetningu, sem er meiri vinna en nafn valkostsins gefur til kynna. Valið milli þeirra er spurning um hver má breyta tenglinum meðan hann er uppi.

ifconfig-noexec nær aðeins yfir heimilisföng: leiðataflan er ósnortin og leiðauppsetning tilheyrir route-noexec. Meðhöndlið skipanirnar tvær sem aðskilin stýring með aðskildum eigendum, því að stilla aðra og gera ráð fyrir hinni er algeng uppspretta hálfstilltra tengla. Veljið nákvæmlega einn eiganda á hvert lag, heimilisföng á einum stað og leiðir á einum stað. Nettstjóri og VPN-aðstoðarmaður sem báðir skrifa heimilisföng er leiðin sem aftengingin eyðir stöðu sem hinn aðilinn treystir enn á.

Skoðið tækið úr nafnrýminu sem skiptir máli

Skoðið tækið úr nafnrýminu sem VPN-ferlið keyrir í, ekki úr því sem skelin ykkar er í fyrir tilviljun. Skipanirnar tvær hér að neðan svara ólíkum spurningum, og munurinn kemur fram þegar hýsill sér viðmót sem gámur sér ekki. Keyrið þær í uppgefinni röð, því hin seinni hefur aðeins merkingu þegar þið vitið hvort tengillinn er yfirleitt til.

ip -details link show dev tun1
ip tuntap show

Fyrri skipunin prentar tengilinn eins og kjarninn sér hann, þar á meðal fána og viðmótstegund, og þannig staðfestið þið að þetta sé tækið sem þið áttuð við. Sú seinni listar varanlegar tun/tap-færslur, sem eru til án þess að nokkurt ferli haldi þeim. Viðmót sem bíður fyrirhugaðs eiganda er önnur staða en lifandi göng fest við annað VPN, og aðeins sú seinni skýrir hvers vegna ykkar eigin festing mistekst. Finnið ferlið sem heldur tækinu áður en þið breytið nokkru, því varanleg færsla og upptekið viðmót hafa ólíkar lagfæringar.

Stuðningur við margar raðir er ákveðið rekjarafyrirkomulag með eigin kröfum, ekki leyfi fyrir ótengd ferli til að deila einu viðmóti. Lifandi seta annars eiganda er samhæfingarvandamál og engin sniðbreyting leysir það.

Tvær tegundir varanleika

Varanleiki kjarnans og persist-tun lýsa líftímum sem auðvelt er að rugla saman og dýrt að misráða. Varanlegt tæki er til óháð hvaða ferli sem er, svo það lifir stöðvun af og næsta ræsing getur endurnýtt það. persist-tun varðveitir auðlindir yfir studdar mjúkar endurstillingar innan eins OpenVPN-ferlis, miklu styttri tímaramma. Hvorugt lofar því að stöðvun þjónustunnar skilji leiðir og heimilisföng eftir á sínum stað, og viðmót sem er áfram sýnilegt er ekki sönnun virkrar dulkóðaðrar setu.

Staðfestið líka bakendann, því fyrirfram búið viðmót segir ekkert um hvaða útfærsla opnar það. Samfélagsbyggingar sem bera beinu gagnaleiðina reyna að nota það nema hönnunin segi annað. Þar sem útgáfan styður rofann velur disable-dco í staðinn notendarýmisleiðina; eldri vélar og aðrir biðlarar hafa ekki slíka skipun, svo hafið útgáfuskilyrðið við hlið valkostsins í stað þess að gera ráð fyrir að það eigi við.

Hvað brotnar þegar aðeins er prófuð ræsing

Eignarsamkomulag getur staðist fyrra prófið og fallið á því síðara, sem gerir ræsingu eina og sér að lélegri athugun. Fylgist frekar með tveimur umskiptum: mjúkri endurstillingu og fullri stöðvun sem ræsing fylgir.

systemctl status openvpn-client@lab
ip -details link show dev tun1

Ræsing er auðvelda tilfellið: einingin rís, tengillinn birtist og stöðuúttakið nefnir sniðið sem hlaðið var. Festingin er augnablikið þegar púkan opnar tækið, svo keyrið tengilathugunina eftir að einingin tilkynnir að hún sé virk, ekki fyrir. Ef tengillinn er til meðan staðan virkjast enn er verið að skoða varanlegt tæki sem enginn hefur fest sig við enn, ekki virkt göng. Látið raunverulegt umferð fara um tengilinn áður en haldið er áfram, því fest viðmót án nothæfrar leiðar er enn bilun.

kill -SIGHUP $(pidof openvpn)
journalctl -u openvpn-client@lab -n 40
systemctl stop openvpn-client@lab
ip -details link show dev tun1

Mjúk endurstilling á að skilja setuna nothæfa og auðlindirnar ósnortnar, og það er verkið sem persist-tun vinnur. Full stöðvun er staðurinn þar sem utanaðkomandi stjóri afhjúpar sig: ef tengillinn eða heimilisföng hans lifa stöðvunina af á einhver annar þau, og það er annaðhvort staðan sem þið skjalfestuð eða villan sem þið funduð rétt í þessu. Skráið báðar athuganirnar við hlið sniðsins, svo næsta breyting byrji á sönnunargögnum en ekki skýringarmynd.