Á að notendalotan eiga SSHFS-tengingu yfir VPN?

Að tengja sameiginlega möppu eftir að VPN fer í gang felur í sér tvö auðkenni sem auðvelt er að rugla saman: hlutinn sem má stilla netið og reikningurinn sem má skrá sig inn á skráþjóninn. Þau eru sjaldan þau sömu. Root-eign VPN-krók er slæmur staður til að hefja SSHFS-tengingu skrifborðsnotanda, því hún hefur hvorki agent notandans né fyrirhugaða eign tengingarinnar. Að setja eignina rétt fyrst gerir kveikjuna einfalda.

Tvö auðkenni, tvö aðskilin leyfi

VPN-biðlara þarf forréttindi til að breyta leiðum og viðmótum. SSHFS-tengingin þarf SSH-auðkenni sem skráþjónninn samþykkir og FUSE-tengingu í eigu reikningsins sem mun lesa skrárnar. Eitt skrift sem keyrir sem root uppfyllir fyrstu kröfuna og brýtur þá seinni hljóðlega.

Tenging sem root skilur skrárnar utan skrifborðslotunnar og hugsanlega án aðgangs að agentinum sem geymir lykil notandans. Tengingin er til, notandinn getur ekki skrifað í gegnum hana, og bilunin lítur út eins og leyfisvandamál á þjónshlið. Þessi ranga greining kostar síðdegi og miða til geymsluteymisins.

Ákveddu hvaða reikningur á tenginguna áður en þú skrifar nokkra sjálfvirkni, því þessi val ákvarðar hvar kveikjan býr og hvaða skilríkjum hún getur náð.

Komdu fyrst á notendaeigu tengingu handvirkt

Byrjaðu á innskráðum notanda með tóman tengipunkt, heimilaðan SSH-reikning og vinnandi slóð að þjóninum í gegnum göngin. Handvirk tenging setur grunninn sem hver sjálfvirkni verður að endurskapa.

mkdir -p "$HOME/mnt/team"
sshfs [email protected]:/exports/team "$HOME/mnt/team"
mount | grep sshfs

Nöfnin eru dæmi, svo skiptu út hýsilnum og útflutningsslóðinni sem þjónninn þinn býður í raun. Staðfestu hýsillykilinn með samþykktu ferli við þá fyrstu tengingu. Athugaðu að lykilorð VPN-reiknings er ekki sjálfkrafa skilríki geymslureikningsins, og það er algeng orsök misheppnaðra tilrauna.

Keyrðu það sem venjulegur notandi með tengipunkt sem sá notandi á. Sjálfgefið nær aðeins reikningurinn sem tengir skránum, og allow_other víkkar þessi mörk út til hvers staðbundins notanda. Það er viljandi víkkun aðgangs, ekki krókaleið fyrir sjálfvirkni.

Leyfðu kveikjunni að starfa í sama lotusamhengi

Leyfðu studdri VPN-atburðasamþættingu að biðja um að notendalotuaðgerð keyri, í stað þess að gera ráð fyrir að forréttindum búinn callback geti fengið skrifborðsskilríki að láni. Takmarkaðu kveikjuna við fyrirhugaða tengingarauðkennið frekar en hvaða viðmót sem heitir tun0 fyrir tilviljun. Sendiregla sem passar við rangt hlut kviknar við hverja netbreytingu, þar á meðal þær sem hafa ekkert með þessa tengingu að gera.

Aðgerðin ætti að staðfesta væntanlegt hýsilnafn, taka eftir fyrirliggjandi tengingu og gera eina takmarkaða tilraun. Kringlukönnun sem byrjar nýtt SSHFS-ferli á nokkurra sekúndna fresti, eða endurtekur skilríkjabeiðni meðan þjónninn er niðri, breytir stuttri truflun í hrúgu fastra ferla. Takmarkaðu tilraunina með tímatakmörkun og einni endurtilraun.

nmcli -g UUID connection show --active
systemctl --user list-units 'sshfs*'
pgrep -a sshfs

Fyrsta skipunin gefur tengingarauðkennið sem sendireglan á að passa við. Hinar tvær sýna hvort tilraun sé þegar í gangi, og það er athugunin sem kemur í veg fyrir tvítekningar.

Óeftirlitsskyld þjónusta þarf sín eigin samþykktu skilríki og sína eigin hýsilstaðfestingu í sínu eigin framkvæmdarsamhengi. Hún getur ekki gert ráð fyrir að grafískt agent sé ólæst, og hún ætti ekki að reyna að opna eitt.

Skipuleggðu aftenginguna áður en þú þvingar hreinsunina

Fyrir skipulagða aftengingu skaltu klára skráaðgerðir og aftengja frá eigin vinnuflæði notandans sem tengir. Miðaðu á tengipunktinn frekar en ferlið, og staðfestu niðurstöðuna áður en þú tilkynnir árangur.

fusermount3 -u "$HOME/mnt/team"
mountpoint "$HOME/mnt/team"

Aftengdu aðeins tenginguna sem þetta vinnuflæði bjó til. Ef hún er upptekin er það ákvörðun forritsins: þvinguð aðskilnaður sem er til til að láta krók skila árangri felur gagnatap í stað þess að koma í veg fyrir það.

Óvænt tap hegðar sér öðruvísi. SSHFS skjalfestir að nettruflun geti lokað skráarkerfisaðgerð, og reconnect-valkosturinn endurheimtir flutninginn án þess að endurheimta handföng: skrá sem opnuð var fyrir endurtengingu getur mistekist í næstu skrifum, og rofin skrif eru ekki varðveitt. Sá munur skiptir mestu fyrir ritla sem halda einni skrá opinni í klukkustundir. Skipuleggðu enduropnunarskref í stað þess að gera ráð fyrir endurheimt.

Prófaðu hegðunina með einnota skrám áður en þú treystir á hana. Mappa sem birtist aftur eftir að göngin snúa aftur sannar ekki að fyrri handföng eða óvistað verk hafi lifað af.