Ættir þú að sleppa chroot eða afrita iproute2 inn í fangelsið?

Þjónustan ræsist, biðlari tengist og engin leið birtist nokkurn tíma á þjónsstöðunni. Eða daemoninn neitar að ræsast og nefnir skipun sem hann gat ekki keyrt. Báðar útkomur fylgja sömu þremur línum, sem venjulega eru afritaðar saman úr herðingarleiðbeiningum: skipta yfir í óforréttindaaðgang, sleppa hópnum og breyta rót skráarkerfisins. Aðeins ein þeirra þriggja felur skrár, og aðeins ein þeirra fjarlægir heimildina til að breyta leiðatöflunni. Að aðskilja þær er leiðin til að læra hvaða línu þú vilt í raun.

Hvað fangelsið fjarlægir sem daemoninn þarf enn

Rótarskiptin eiga sér stað eftir ræsingu, svo daemoninn heldur öllu sem hann opnaði þegar og tapar öllu sem hann myndi opna síðar. Sérhver hjálp sem tengingin keyrir eftir þann punkt verður að vera inni í nýju rótinni, ásamt sameiginlegu söfnunum sem hann hleður. Fangelsi byggt úr stillingarskrá og skírteini hefur hvorki.

Að skipta yfir í óforréttindaaðgang er sérstök takmörkun. Ferli sem hefur gefið upp rót getur kannski ekki breytt leiðum eða komið viðmóti upp, jafnvel þegar tvístuðullinn liggur rétt hjá, svo greina verður bilunina tvær í sundur.

Þrjú skilyrði ráða því hvaða lagfæringu þú þarft

Fyrsta skilyrðið er hvernig byggingin þín setur upp leiðir. Nýrri OpenVPN útgáfur stilla viðmótið og leiðatöfluna innan ferlisins, en eldri pakkar og sérsniðnar uppsetningar treysta á ytri verkfæri eða á up- og down-skriftur. Ef loggurinn nefnir skipun er ytra verkfæri í spilinu og fangelsið felur það. Ef loggurinn sýnir þess í stað heimildarvillu er aðgangurinn vandamálið.

Annað er viðhald. Fangelsi með afrituðum tvístuðlum verður að endurnýja hvenær sem pakkinn sem býður þá upp er uppfærður, annars skilur fyrsta uppfærslan eftir brotinn göng. Þriðja er hvort tiltekin stýring krefjist í raun chroot; ef krafan snýst í raun um heimildaaðskilnað getur aðgangsskiptin ein og sér nægt.

Hvað virkt fangelsi verður að innihalda

Fangelsi sem keyrir skipanir þarf tvístuðulinn, hvert safn sem hann tengist við og hvern tækjahnuð sem daemoninn opnar seint. Afritaðu hlutana og prófaðu þá án VPN í myndinni:

ldd /usr/sbin/ip
chroot /etc/openvpn/jail /sbin/ip route show
chroot /etc/openvpn/jail /sbin/ip link set tun0 up

Fyrsta skipunin listar háðirnar, og það er sú sem fólk sleppir. Afritaður tvístuðull sem finnur ekki safn bregst með annarri skilaboðum en tvístuðull sem vantar, og bæði líta út eins og OpenVPN-bilun þegar lesið er frá biðlaranum. Að keyra skipunina í fangelsinu handvirkt endurgerir bilunina án þess að endurræsa þjónustuna.

Afritaðu stillinguna, skírteinin og hvaða CRL sem er inn í fangelsið líka, því skrá sem daemoninn ætlar að lesa aftur eftir ræsingu finnst ekki þegar rótin hefur breyst. Skráðu hvað þú afritaðir, því næsta uppfærsla netkerfispakkans kemur í stað upprunanna og lætur fangelsið sitja á gömlu afritunni.

Minnka herðinguna í staðinn

Ef fangelsið er aðeins til vegna þess að leiðbeiningar sögðu svo, er það verjanleg útkoma að fjarlægja þá einu línu og halda aðgangstakmörkununum. Daemoninn heldur skráarkerfissýn sinni og losnar við vandamálið, og heimildalækkunin fjarlægir enn rót úr langlífa ferlinu.

Skrifaðu niður hvað er eftir, og hvers vegna. Stilling sem týndi stjórn hljóðlega án athugasemdar er hvernig herðing rekst, og næsta úttekt spyr hvers vegna línan hvarf.

Skiptu línunum þremur í sundur áður en þú velur

Afritaðu stillinguna, gerðu allar þrjár tilskipanir óvirkar og staðfestu að biðlari tengist og að væntar leiðir birtist. Kveiktu svo aðeins á aðgangslínunum, því næst chroot einni. Skrefið þar sem göngin brotna bendir á mörkin, og þú forðast að endurbyggja fangelsi sem var aldrei orsökin.

Þegar það leiðar aftur, keyrðu eina biðlaralotu með meiri ítarlegheit og lestu línuna sem nefnir skipunina eða heimildina sem brást. Sú lína er meira virði en tímamörkin sem biðlarinn tilkynnir að lokum.