OpenVPN push-peer-info: merkja biðlara án þess að veita aðgang

Uppsetningarmiðar eru venjulega ástæðan fyrir því að fólk grípur til þessarar aðgerðar: hver tenging ætti að bera eitthvað eins og stað eða hlutverk, og þjónninn ætti að lesa það án þess að búa til annað auðkennissnið. OpenVPN samfélagsins hefur þegar þennan fyrirkomulag, og það er lítið. Sá hluti sem særir eru væntingarnar. Að setja venjulega breytu í biðlarasniðið gerir ekkert á þjóninum, og gildi sem berst örugglega sannar bara að biðlarinn sendi það.

Þetta er handbók fyrir virku leiðina, staðfestingarskrefið sem sýnir hvað barst í raun og afturköllunina sem skilur ekki eftir hálfstilltan krók. Ekkert hér þarf nýtt skírteini, nýja viðbót eða framlengingu á samskiptareglum.

Stilltu breytuna og virkjaðu leiðina

Tvær línur gera verkið í biðlarasniðinu, og báðar eru nauðsynlegar. Án fyrri er ekkert að senda; án seinni býður biðlarinn alls ekki upp á jafningjaupplýsingar. Röðin skiptir ekki máli, og það er gott að vita því línurnar tvær enda oft í mismunandi hlutum af mynduðu sniði. Það sem skiptir máli er að báðar lifi af hvað sem endurskrifar sniðið áður en biðlarinn les það.

setenv UV_DEPLOY field-support
push-peer-info

UV_ forskeytið er ekki skraut. Venjuleg DEPLOY breyta verður áfram staðbundin í ferli biðlarans og er aldrei send áfram, en formið með forskeytinu er nafnrýmið sem samskiptareglurnar taka frá fyrir reiti sem notandinn skilgreinir. Láttu afganginn af samþykktu sniðinu ósnortinn og staðfestu að biðlarabyggingin sem þú setur upp styðji báðar tilskipanirnar áður en þú setur hana upp.

Ein hagnýt athugun á heima hér en ekki í lokin: gakktu úr skugga um að tilskipunin nái til tvíundar biðlarans og að umbúðir gleypi hana ekki. Myndrænn biðlari sem býr til sína eigin skipanalínu, eða stjórnviðmót sem hleður aftur vistuðu sniði, getur sleppt línum sem það þekkir ekki. Ef þjónninn sér ekkert er þetta fyrsti staðurinn til að skoða.

Lestu reitinn úr krók á þjóninum

Á þjónshliðinni er mótteknum jafningjaupplýsingum validerað og þeim komið fyrir í umhverfi tengiferilsins, og það er það sem gerir þær læsilegar úr krók án nokkurs samskiptaregluvinnu af þinni hálfu. Þjónninn þarf ekki að þátta stjórnrásina eða geyma neitt fyrir þig; gildið er einfaldlega til staðar meðan tengingin er sett upp. Lágmarks client-connect forrit sem skráir miðann við hlið sannkannaða nafnsins lítur svona út.

#!/bin/sh
# /etc/openvpn/server/hooks/label.sh
printf '%s %s\n' "$common_name" "${UV_DEPLOY:-unset}" \
  >> /var/log/openvpn/deploy-labels.log

Lestu breytuna gegnum umhverfið í stað þess að þátta atburðaskrána, og gefðu henni alltaf sjálfgefið gildi. ${UV_DEPLOY:-unset} heldur forritinu virku fyrir biðlara sem senda reitinn aldrei, sem er eðlilegt ástand við stigskipta uppsetningu. Helliðu ekki öllu umhverfinu í atburðaskrá til að finna nafnið; það inniheldur miklu meira en miðann, þar á meðal gildi sem þú ætlaðir þér ekki að varðveita.

Keyrðu forritið í höndunum og það tilkynnir unset fyrir allt, því handvirkt skel ber ekki umhverfi tengingarinnar. Það er ekki villa í forritinu og ekki sönnun þess að reiturinn vanti. Prófaðu það í gegnum raunverulega tengingu, sem er eina samhengið þar sem breytan er til.

Staðfestu hvað barst í raun

Tengdu einn biðlara með miðanum og einn án hans, lestu svo skrána. Parið er prófið: ein lína ætti að bera gildið og hin sjálfgefna gildið, og báðar ættu að nefna sama sannkannaða auðkennið og þú býst við.

tail -n 5 /var/log/openvpn/deploy-labels.log
# field-support deployed-client-07
# unset         legacy-laptop-02

Þessar athugasemdarlínur eru lögun úttaksins, ekki afrit af þjóninum þínum; lestu þína eigin skrá. Ef seinni biðlarinn sýnir líka gildi er breytan stillt annars staðar í umhverfinu, og þú ert að lesa úrelta stillingu í stað jafningjareitsins.

Athugaðu líka atburðaskrá þjónsins fyrir tenginguna. Jafningjaupplýsingar geta birst þar, sem er þægilegt við villuleit og ástæða til að halda gildunum leiðinlegum: engin nöfn fólks, engin miðanúmer, ekkert sem þér þætti óþægilegt að lokalesari sæi.

Meðhöndlaðu miðann sem fullyrðingu, ekki auðkenni

Hver sem getur breytt biðlarasniðinu getur breytt miðanum, og það að göngin séu sannkönnuð gerir miðann ekki valdan. Flutningurinn verndar gildið á leiðinni; hann staðfestir ekki fullyrðinguna. Heimildirnar tilheyra áfram sannkannaða auðkenninu og skráningarfærslu sem þjónninn á, og miðinn er borinn saman við þá færslu þegar það skiptir máli.

Sú aðgreining ræður því hvar miðann má nota. Góð not eru að beina lotu í rétta atburðaskrá, velja sýnigróp á mælaborði, eða merkja stuðningslotu svo maður finni hana síðar. Slæm not eru að hleypa tæki inn í undirnet, velja eldveggjarstefnu, eða ákveða hvaða gögn viðskiptavinar lotan má lesa.

Staðfestu gildið áður en það nær slóð, fyrirspurn eða skelskipun. Listi yfir leyfðar væntanlegar strengi er nóg fyrir uppsetningarmiða, og hann kostar ekkert. Settu aldrei streng frá jafningja inn í skelskipanalínu, og takmarkaðu hverja vistaða athugun við lotuna en ekki gönguvistfang sem næsti biðlari mun endurnýta.

case "${UV_DEPLOY:-}" in
  field-support|field-qa|lab) : ;;
  *) UV_DEPLOY=unknown ;;
esac

Afturkallaðu hreint

Að fjarlægja aðgerðina eru tvær eyðingar og ein staðfesting. Fjarlægðu línurnar setenv og push-peer-info úr biðlarasniðinu, fjarlægðu svo eða slökktu á króknum og skráningarstað hans á þjóninum.

grep -rn 'UV_DEPLOY\|push-peer-info' /etc/openvpn/
tail -n 3 /var/log/openvpn/deploy-labels.log

Tengdu einn biðlara aftur eftir það og staðfestu að línan í atburðaskránni hætti að birtast. Krókur sem heldur áfram að kveikja eftir sniðbreytinguna er venjulega annað snið sem enn er uppsett á prófunartæki, og ódýrara er að finna hann núna en í úttekt.

Það sem eftir er í lokin er lítill, afmarkaður hluti lotu-merkigagna með skjalfestan uppruna: biðlarinn fullyrðir það, þjónninn skráir það, og ekkert um aðgang fer eftir því. Það er gagnlega útgáfan af aðgerðinni, og hún þarfnast engra nýrra auðkennisgagna til að komast þangað.