SSHFS-ის მონტირებები მომხმარებელს ეკუთვნის და არა VPN-ის კაუჭს

დაშვება ადვილად ითვისება და ძნელად შესამჩნევია: VPN-ის დაკავშირების კაუჭი root-ად მუშაობს, ამიტომ მის მიერ დაწყებული მონტირებაც root-ად უნდა მოწყობილიყო. ეს მსჯელობა ქმნის გუნდურ საქაღალდეს, რომელსაც სამუშაო მაგიდის მომხმარებელი ვერ გახსნის, მონტირებას, რომელიც ქრება ტრიგერი სერვისის გადატვირთვისას, და ავთენტიფიკაციის მოთხოვნას ისეთ კონტექსტში, სადაც ვერავინ უპასუხებს. კაუჭი და მონტირება ორი განსხვავებული საქმეა და მხოლოდ ერთს სჭირდება უფლება.

მითი: ქსელური უფლება ნიშნავს მონტირების უფლებას

ინტერფეისის აწევა და ფაილურ სერვერზე ავთენტიფიკაცია დაუკავშირებელი შესაძლებლობებია და ჩვეულებრივ სხვადასხვა ანგარიშს ეკუთვნის. VPN-ის კომპონენტს სჭირდება საკმარისი უფლება მარშრუტებისა და ინტერფეისების შესაცვლელად. ფაილური სერვერის ანგარიშს სჭირდება გასაღები ან პაროლი, გადაწყვეტილება ჰოსტის გასაღებზე და სახლის საქაღალდე მონტირებისთვის. მეორე საქმის სერთიფიკატების პირველ იდენტობაზე გადაცემა ის გზაა, რომლითაც ქსელური სერვისი მომხმარებლის გასაღებს ინახავს.

ერთმომხმარებლიან ლეპტოპზე ეს შეიძლება ერთი და იგივე ანგარიში იყოს და ეს დამთხვევა დიზაინი არ არის.

როგორც კი პრივილეგირებული კაუჭი მონტირებას შეასრულებს, სამი რამ ჩუმად ფუჭდება. მონტირება root-ს ეკუთვნის, მომხმარებლის აგენტი ამ გარემოში არ არის და წარუმატებლობები ქსელური სერვისის ლოგში ჩნდება და არა იმ სესიაში, რომელსაც ეს აინტერესებს. არც ერთი მათგანი არ სწორდება მონტირების ბრძანებაზე ოფციების დამატებით. ისინი სწორდება საქმის იმ სესიაზე გადაცემით, რომელსაც იდენტობა ეკუთვნის.

რატომ ეკუთვნის მონტირება შესული მომხმარებელს

SSHFS-ის მონტირება FUSE-ის მონტირებაა, რომელიც მის შემქმნელ პროცესს ეკუთვნის, და წვდომა ამ საკუთრებას მიჰყვება და არა მშობელი საქაღალდის რეჟიმს. საცნობარი გირჩევთ ჩვეულებრივ მომხმარებელს და მის საკუთრებაში არსებულ მონტირების წერტილს, და სწორედ ამიტომაა root პროცესის მიერ შექმნილი მონტირება ყველა დანარჩენისთვის მოუხერხებელი. მონტირების წერტილზე ნებართვის შეცვლა ამას არ ასწორებს, რადგან დაბრკოლება თავად მონტირების მფლობელია.

დაიწყეთ ხელით შექმნილი საბაზისო ხაზიდან მომხმარებლის სესიაში: არსებული ცარიელი მონტირების წერტილი სახლის საქაღალდის ქვეშ, ავტორიზებული ანგარიში სერვერზე და ჰოსტის გასაღები, რომელიც უკვე თქვენი დამტკიცებული პროცესით არის გადამოწმებული. მონტირეთ ის ხელით ერთხელ და გამოიყენეთ, რადგან ეს ამტკიცებს, რომ იდენტობის გზა მუშაობს ნებისმიერი ავტომატიზაციის გაჩენამდე. ჩაწერეთ რა დასჭირდა ბრძანებას: ანგარიშის სახელი, ექსპორტის გზა და კერძო ჰოსტის სახელი. შეინახეთ ზუსტად ეს კონტექსტი ავტომატიზებული ვერსიისთვის, რადგან მომუშავე ხელით მონტირება ის სპეციფიკაციაა, რომელიც ტრიგერმა უნდა გაამრავლოს.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

ამ ხაზში ყოველი სახელი და გზა ჩათვალეთ დროებით ნიშნად, მათ შორის ანგარიში და ექსპორტი. VPN ანგარიშის პაროლი ავტომატურად არ არის საცავის ანგარიშის სერთიფიკატი.

რა უნდა სთხოვოს ტრიგერმა სესიას

მხარდაჭერილი მოწყობაა მოთხოვნა ქსელური მოვლენიდან მომხმარებლის სესიაზე და არა ნასესხები სერთიფიკატი. შეზღუდეთ ტრიგერი იმ კავშირით, რომელიც გულისხმობთ, სახელით ან UUID-ით და არა ნებისმიერი ინტერფეისით, რომელსაც შემთხვევით tun0 ჰქვია. ეს ერთი ცვლილება ხელს უშლის მეორე პროფილს, სატესტო გვირაბს ან კოლეგის გამართვის სესიას მონტირება დაიწყოს.

სესიის მხარეს მოქმედებამ უნდა მოძებნოს განკუთვნილი არსებული მონტირება და შემდეგ გააკეთოს ერთი შეზღუდული მცდელობა.

ნუ სცდით ხელახლა ყოველ გამოკითხვაზე და ნუ გააგრძელებთ სერთიფიკატის მოთხოვნას, სანამ სერვერი მიუწვდომელია, რადგან ორივე დროებით შეფერხებას ანგარიშის ჩაკეტვად აქცევს. უყურადღებო სერვისი ცალკე დიზაინია, საკუთარი დამტკიცებული სერთიფიკატებით და საკუთარი ჰოსტის შემოწმების მოწყობით საკუთარ შესრულების კონტექსტში და ის ვერ დაეყრდნობა იმას, რომ ვიღაცამ გრაფიკული აგენტი გახსნა. გადაწყვიტეთ რომელი ორიდან აშენებთ, სანამ აირჩევთ სად იცხოვრებს კოდი. აქ არეულობის უმეტესობა ერთის აშენებიდან და მეორის მოლოდინიდან მოდის.

გათიშვა ფაილური სისტემის მოვლენაა და არა კაუჭის მოვლენა

დაგეგმილმა გათიშვამ უნდა დაასრულოს ფაილური ოპერაციები და მონტირება მოაშოროს მონტირებული მომხმარებლის სესიიდან იმ ფაილური სისტემის ტიპისთვის მხარდაჭერილი ბრძანებით. განცალკევების იძულება იმისთვის, რომ კაუჭი სწრაფად დაბრუნდეს, ის გზაა, რომლითაც აპლიკაციები კარგავენ სამუშაო საქაღალდეს და მომხმარებლები კარგავენ ნდობას ავტომატიზაციის მიმართ. დაკავებულ მონტირებას სჭირდება გადაწყვეტილება აპლიკაციის დონეზე, მაგალითად ფაილის დახურვა ან ჩაწერის შეჩერება და არა უფრო ძლიერი სიგნალი. კაუჭის გასვლის სტატუსი არ არის ის, რაც ოპტიმიზირდება.

fusermount3 -u "$HOME/mnt/team"

მოულოდნელი დაკარგვა განსხვავებული შემთხვევაა და SSHFS აღნიშნავს, რომ შეწყვეტილმა ოპერაციამ შეიძლება დაიბლოკოს, სანამ ტრანსპორტი ხელახლა დაუკავშირდება.

ხელახალი დაკავშირების ოფცია აღადგენს ტრანსპორტს და ამ დაკავშირებამდე გახსნილმა ფაილებმა შეიძლება კვლავ დააბრუნონ შეცდომები და საჭიროებდეს ხელახლა გახსნას. დაბრუნებული VPN არაფერს ამტკიცებს წინა დეფსკრიპტორებზე ან შეუნახავ სამუშაოზე. აირჩიეთ სასურველი ქცევა შეფერხებისას — პაუზა, შეცდომის ჩვენება ან განზრახ ხელახალი მონტირება — და შეამოწმეთ ის ერთჯერადი ფაილებით, სანამ რამე მასზე იქნება დამოკიდებული.