SSHFS-tengingar tilheyra notandanum, ekki VPN-króknum

Auðvelt er að taka forsenduna og erfitt að taka eftir henni: VPN-tengingarkrókur keyrir sem root, svo tengingin sem hann ræsir ætti líka að vera skipulögð sem root. Þessi röksemd framleiðir teymismöppu sem skjáborðsnotandinn getur ekki opnað, tengingu sem hverfur þegar kveikjarþjónustan endurræsist, og auðkenningarbeiðni í samhengi þar sem enginn getur svarað henni. Krókurinn og tengingin eru tvö mismunandi verk, og aðeins annað þeirra þarf forréttindi.

Goðsögnin: netréttindi þýða tengiréttindi

Að lyfta tengi og auðkenna sig við skráarþjón eru ótengdir eiginleikar, og þeir tilheyra venjulega mismunandi reikningum. VPN-íhluturinn þarf næg forréttindi til að breyta leiðum og tengjum. Skráarþjónsreikningurinn þarf lykil eða lykilorð, ákvörðun um hýsillykil og heimaskrá til að tengja í. Að afhenda skírteini seinna verksins fyrstu auðkenninu er leiðin sem netþjónusta endar með að geyma lykil notanda.

Á fartölvu eins notanda geta þetta verið sami reikningurinn, og sú tilviljun er ekki hönnun.

Þegar forréttindakrókur hefur gert tenginguna fara þrír hlutir hljóðlega úrskeiðis. Tengingin er í eigu root, umboðsmaður notandans vantar í það umhverfi, og bilanir birtast í annál netþjónustunnar frekar en í sessioninni sem er annt um. Ekkert þessara er lagað með því að bæta valkostum við tengiskipunina. Þau eru lagað með því að gefa verkið sessioninni sem á auðkennið.

Af hverju tengingin tilheyrir innskráða notandanum

SSHFS-tenging er FUSE-tenging í eigu ferlisins sem bjó hana til, og aðgangur fylgir þeirri eign frekar en stillingu yfirmöppunnar. Tilvísunin mælir með venjulegum notanda með tengipunkt sem hann á, og það er einmitt hvers vegna tenging sem root-ferli býr til er óþægileg fyrir alla aðra. Réttindabreyting á tengipunktinum lagar það ekki, því hindrunin er eigandi tengingarinnar sjálfrar.

Byrjið á handvirkri grunnlínu innan sessionar notandans: fyrirliggjandi tómur tengipunktur undir heimaskránni, heimilaður reikningur á þjóninum, og hýsillykill sem þegar hefur verið staðfestur með samþykktu ferlinu þínu. Tengið hana handvirkt einu sinni og notið hana, því það sannar að auðkennisleiðin virki áður en nokkur sjálfvirkni er til. Skráið hvað skipunin þurfti: reikningsheitið, útflutningsslóðina og einkahýsilheitið. Haldið nákvæmlega þessu samhengi fyrir sjálfvirku útgáfuna, því virk handvirk tenging er forskriftin sem kveikjarinn verður að endurskapa.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Meðhöndlið hvert heiti og slóð í þeirri línu sem staðgengil, þar á meðal reikninginn og útflutninginn. Lykilorð VPN-reiknings er ekki sjálfkrafa skírteini geymslureikningsins.

Hvað kveikjarinn á að biðja sessionina um að gera

Studda fyrirkomulagið er beiðni frá netatburðinum til sessionar notandans, ekki lánað skírteini. Takmarkið kveikjarann við tenginguna sem þið meinið, eftir heiti eða UUID, frekar en við hvaða tengi sem heitir fyrir tilviljun tun0. Þessi eina breyting stöðvar aðra prófíl, prófunargöng eða kembiforritunarsession kollega byrji tengingu.

Aðgerðin á sessionarhliðinni ætti að leita að fyrirhugaðri fyrirliggjandi tengingu og gera svo eina takmarkaða tilraun.

Ekki reyna aftur við hverja könnun og ekki halda áfram að biðja um skírteini meðan þjónninn er óaðgengilegur, því bæði gera skammvinnar truflanir að reikningslæsingu. Þjónusta án eftirlits er sérstök hönnun með sín eigin samþykktu skírteini og eigið hýsil staðfestingarfyrirkomulag í sínu eigin framkvæmdarsamhengi, og getur ekki treyst á að einhver hafi opnað grafískt umboð. Ákveðið hvorri tveggja þið séuð að byggja áður en þið veljið hvar kóðinn býr. Mest ruglsins hér kemur af því að byggja aðra og búast við hinni.

Aftenging er atburður skráarkerfisins, ekki atburður króksins

Fyrirhuguð aftenging ætti að klára skráaraðgerðir og aftengja frá session tengjandi notanda með studdu skipuninni fyrir þá tegund skráarkerfis. Að þvinga aðskilnað svo krókur snúi fljótt aftur er leiðin sem forrit missa vinnuskrána sína og notendur missa traust á sjálfvirkninni. Upptekinn tenging þarf ákvörðun á forritastigi, eins og að loka skránni eða stöðva skrifin, ekki sterkara merki. Útgöngustaða króksins er ekki það sem verið er að hagræða.

fusermount3 -u "$HOME/mnt/team"

Óvænt tap er annað tilvik, og SSHFS skrásetur að trufluð aðgerð geti stíflast meðan flutningurinn tengist aftur.

Aftengingarvalkosturinn endurheimtir flutninginn, og skrár sem opnaðar voru fyrir þá aftengingu geta enn skilað villum og þurfa að opnast aftur. VPN sem snýr aftur sannar ekkert um fyrri handföng eða óvistað verk. Veljið hegðunina sem þið viljið við truflun — hlé, villusýning eða viljandi endurtenging — og prófið hana með einnota skrám áður en eitthvað byggir á henni.