OpenVPN push-peer-info: ಪ್ರವೇಶ ನೀಡದೆ ಕ್ಲೈಂಟ್‌ಗಳಿಗೆ ಲೇಬಲ್ ಮಾಡಿ

ನಿಯೋಜನೆ ಟ್ಯಾಗ್ಗಳು ಜನರು ಈ ವೈಶಿಷ್ಟ್ಯದ ಕಡೆಗೆ ತಿರುಗುವ ಸಾಮಾನ್ಯ ಕಾರಣ: ಪ್ರತಿ ಸಂಪರ್ಕವೂ ಸ್ಥಳ ಅಥವಾ ಪಾತ್ರದಂತಹದನ್ನು ಹೊತ್ತಿರಬೇಕು, ಮತ್ತು ಸರ್ವರ್ ಎರಡನೇ ರುಜುವಾತು ಸ್ವರೂಪವನ್ನು ಕಲ್ಪಿಸದೆ ಅದನ್ನು ಓದಬೇಕು. ಸಮುದಾಯ OpenVPN ಬಳಿ ಈ ಕಾರ್ಯವಿಧಾನ ಈಗಾಗಲೇ ಇದೆ, ಮತ್ತು ಅದು ಚಿಕ್ಕದು. ನೋವು ಕೊಡುವ ಭಾಗ ನಿರೀಕ್ಷೆಗಳು. ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಸಾಮಾನ್ಯ ಚರವನ್ನು ಹೊಂದಿಸುವುದು ಸರ್ವರ್ನಲ್ಲಿ ಏನನ್ನೂ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಬಂದ ಮೌಲ್ಯವು ಕ್ಲೈಂಟ್ ಅದನ್ನು ಕಳುಹಿಸಿದೆ ಎಂದು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

ಇದು ಕೆಲಸ ಮಾಡುವ ಮಾರ್ಗಕ್ಕೆ, ನಿಜವಾಗಿ ಏನು ಬಂದಿತು ಎಂದು ತೋರಿಸುವ ಪರಿಶೀಲನಾ ಹಂತಕ್ಕೆ ಮತ್ತು ಅರ್ಧ ಸಂರಚಿತ ಕೊಕ್ಕೆಯನ್ನು ಬಿಡದ ಹಿಂಪಡೆಯುವಿಕೆಗೆ ಒಂದು ಕೈಪಿಡಿ. ಇಲ್ಲಿ ಯಾವುದೂ ಹೊಸ ಪ್ರಮಾಣಪತ್ರ, ಹೊಸ ಪ್ಲಗಿನ್ ಅಥವಾ ಪ್ರೋಟೋಕಾಲ್ ವಿಸ್ತರಣೆಯನ್ನು ಬೇಡುವುದಿಲ್ಲ.

ಚರವನ್ನು ಹೊಂದಿಸಿ ಮತ್ತು ಮಾರ್ಗವನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿ

ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಎರಡು ಸಾಲುಗಳು ಕೆಲಸ ಮಾಡುತ್ತವೆ, ಮತ್ತು ಎರಡೂ ಅಗತ್ಯ. ಮೊದಲನೆಯದಿಲ್ಲದೆ ಕಳುಹಿಸಲು ಏನೂ ಇಲ್ಲ; ಎರಡನೆಯದಿಲ್ಲದೆ ಕ್ಲೈಂಟ್ ಪೀರ್ ಮಾಹಿತಿಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನೀಡುವುದಿಲ್ಲ. ಕ್ರಮವು ಮುಖ್ಯವಲ್ಲ, ಮತ್ತು ಇದನ್ನು ತಿಳಿಯುವುದು ಒಳ್ಳೆಯದು ಏಕೆಂದರೆ ಎರಡು ಸಾಲುಗಳು ಹೆಚ್ಚಾಗಿ ರಚಿಸಿದ ಪ್ರೊಫೈಲ್ನ ಬೇರೆ ಬೇರೆ ಭಾಗಗಳಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತವೆ. ಮುಖ್ಯವಾದುದು ಎಂದರೆ ಕ್ಲೈಂಟ್ ಓದುವ ಮೊದಲು ಪ್ರೊಫೈಲ್ ಅನ್ನು ಮರುಬರೆಯುವ ಯಾವುದೇ ವಿಷಯದಿಂದ ಎರಡೂ ಉಳಿಯಬೇಕು.

setenv UV_DEPLOY field-support
push-peer-info

UV_ ಪೂರ್ವಪ್ರತ್ಯಯವು ಅಲಂಕಾರವಲ್ಲ. ಸಾಮಾನ್ಯ DEPLOY ಚರವು ಕ್ಲೈಂಟ್ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ ಸ್ಥಳೀಯವಾಗಿ ಉಳಿಯುತ್ತದೆ ಮತ್ತು ಎಂದಿಗೂ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸಲ್ಪಡುವುದಿಲ್ಲ, ಆದರೆ ಪೂರ್ವಪ್ರತ್ಯಯದ ರೂಪವು ಪ್ರೋಟೋಕಾಲ್ ಬಳಕೆದಾರ-ವ್ಯಾಖ್ಯಾನಿತ ಕ್ಷೇತ್ರಗಳಿಗೆ ಕಾಯ್ದಿರಿಸುವ ಹೆಸರಿನ ಸ್ಥಳವಾಗಿದೆ. ಅನುಮೋದಿತ ಪ್ರೊಫೈಲ್ನ ಉಳಿದ ಭಾಗವನ್ನು ಅಸ್ಪೃಶ್ಯವಾಗಿಡಿ ಮತ್ತು ನಿಯೋಜಿಸುವ ಮೊದಲು ನೀವು ನಿಯೋಜಿಸುವ ಕ್ಲೈಂಟ್ ಬಿಲ್ಡ್ ಎರಡೂ ಸೂಚನೆಗಳನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಒಂದು ಪ್ರಾಯೋಗಿಕ ಪರಿಶೀಲನೆ ಕೊನೆಯಲ್ಲಿ ಅಲ್ಲ, ಇಲ್ಲಿಯೇ ಸೇರಬೇಕು: ಸೂಚನೆಯು ಕ್ಲೈಂಟ್ ಬೈನರಿಯನ್ನು ತಲುಪುತ್ತದೆ ಮತ್ತು ಯಾವುದೇ ಸುತ್ತುವರಿಕೆಯಿಂದ ನುಂಗಲ್ಪಡುವುದಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ. ತನ್ನದೇ ಆದ ಆಜ್ಞಾ ಸಾಲನ್ನು ರಚಿಸುವ ಗ್ರಾಫಿಕಲ್ ಕ್ಲೈಂಟ್, ಅಥವಾ ಸಂಗ್ರಹಿಸಿದ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಮರುಲೋಡ್ ಮಾಡುವ ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್, ಗುರುತಿಸದ ಸಾಲುಗಳನ್ನು ಬಿಟ್ಟುಬಿಡಬಹುದು. ಸರ್ವರ್ ಏನನ್ನೂ ಕಾಣದಿದ್ದರೆ, ಇದು ನೋಡಬೇಕಾದ ಮೊದಲ ಸ್ಥಳ.

ಸರ್ವರ್ ಕೊಕ್ಕೆಯಿಂದ ಕ್ಷೇತ್ರವನ್ನು ಓದಿ

ಸರ್ವರ್ ಕಡೆ, ಸ್ವೀಕರಿಸಿದ ಪೀರ್ ಮಾಹಿತಿಯನ್ನು ಮಾನ್ಯಗೊಳಿಸಿ ಸಂಪರ್ಕ ಕಾರ್ಯಹರಿವಿನ ಪರಿಸರಕ್ಕೆ ಸೇರಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ಅದೇ ನಿಮ್ಮ ಕಡೆಯಿಂದ ಯಾವುದೇ ಪ್ರೋಟೋಕಾಲ್ ಕೆಲಸವಿಲ್ಲದೆ ಅದನ್ನು ಕೊಕ್ಕೆಯಿಂದ ಓದಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ. ಸರ್ವರ್ ನಿಯಂತ್ರಣ ಚಾನಲ್ ಅನ್ನು ವಿಶ್ಲೇಷಿಸಬೇಕಾಗಿಲ್ಲ ಅಥವಾ ನಿಮಗಾಗಿ ಏನನ್ನೂ ಸಂಗ್ರಹಿಸಬೇಕಾಗಿಲ್ಲ; ಸಂಪರ್ಕ ಸಿದ್ಧವಾಗುತ್ತಿರುವಾಗ ಮೌಲ್ಯವು ಸರಳವಾಗಿ ಇರುತ್ತದೆ. ದೃಢೀಕೃತ ಹೆಸರಿನ ಪಕ್ಕದಲ್ಲಿ ಲೇಬಲ್ ಅನ್ನು ದಾಖಲಿಸುವ ಕನಿಷ್ಠ client-connect ಸ್ಕ್ರಿಪ್ಟ್ ಹೀಗೆ ಕಾಣುತ್ತದೆ.

#!/bin/sh
# /etc/openvpn/server/hooks/label.sh
printf '%s %s\n' "$common_name" "${UV_DEPLOY:-unset}" \
  >> /var/log/openvpn/deploy-labels.log

ಲಾಗ್ ಅನ್ನು ವಿಶ್ಲೇಷಿಸುವ ಬದಲು ಪರಿಸರದ ಮೂಲಕ ಚರವನ್ನು ಓದಿ, ಮತ್ತು ಅದಕ್ಕೆ ಯಾವಾಗಲೂ ಡೀಫಾಲ್ಟ್ ಮೌಲ್ಯ ನೀಡಿ. ${UV_DEPLOY:-unset} ಕ್ಷೇತ್ರವನ್ನು ಎಂದಿಗೂ ಕಳುಹಿಸದ ಕ್ಲೈಂಟ್ಗಳಿಗೂ ಸ್ಕ್ರಿಪ್ಟ್ ಕೆಲಸ ಮಾಡುವಂತೆ ಇಡುತ್ತದೆ, ಇದು ಹಂತಹಂತದ ನಿಯೋಜನೆಯ ಸಮಯದಲ್ಲಿ ಸಾಮಾನ್ಯ ಸ್ಥಿತಿ. ಹೆಸರನ್ನು ಹುಡುಕಲು ಇಡೀ ಪರಿಸರವನ್ನು ಲಾಗ್ಗೆ ಸುರಿಯಬೇಡಿ; ಅದರಲ್ಲಿ ಲೇಬಲ್ಗಿಂತ ಬಹಳ ಹೆಚ್ಚು ಇದೆ, ನೀವು ಉಳಿಸಲು ಉದ್ದೇಶಿಸದ ಮೌಲ್ಯಗಳೂ ಸೇರಿದಂತೆ.

ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಕೈಯಿಂದ ಚಲಾಯಿಸಿ, ಅದು ಎಲ್ಲದಕ್ಕೂ unset ಎಂದು ವರದಿ ಮಾಡುತ್ತದೆ, ಏಕೆಂದರೆ ಕೈಯಿಂದ ಚಲಾಯಿಸಿದ ಶೆಲ್ ಸಂಪರ್ಕದ ಪರಿಸರವನ್ನು ಹೊತ್ತೊಯ್ಯುವುದಿಲ್ಲ. ಇದು ಸ್ಕ್ರಿಪ್ಟ್ನ ದೋಷವಲ್ಲ ಮತ್ತು ಕ್ಷೇತ್ರ ಕಾಣೆಯಾಗಿದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿಯೂ ಅಲ್ಲ. ಅದನ್ನು ನಿಜವಾದ ಸಂಪರ್ಕದ ಮೂಲಕ ಪರೀಕ್ಷಿಸಿ, ಚರವು ಇರುವ ಏಕೈಕ ಸಂದರ್ಭ ಅದು.

ನಿಜವಾಗಿ ಏನು ಬಂದಿತು ಎಂದು ಪರಿಶೀಲಿಸಿ

ಲೇಬಲ್ನೊಂದಿಗೆ ಒಂದು ಕ್ಲೈಂಟ್ ಮತ್ತು ಅದಿಲ್ಲದೆ ಇನ್ನೊಂದನ್ನು ಸಂಪರ್ಕಿಸಿ, ನಂತರ ಫೈಲ್ ಓದಿ. ಜೋಡಿಯೇ ಪರೀಕ್ಷೆ: ಒಂದು ಸಾಲು ಮೌಲ್ಯವನ್ನು ಹೊತ್ತಿರಬೇಕು ಮತ್ತು ಇನ್ನೊಂದು ಡೀಫಾಲ್ಟ್ ಅನ್ನು, ಮತ್ತು ಎರಡೂ ನೀವು ನಿರೀಕ್ಷಿಸುವ ಅದೇ ದೃಢೀಕೃತ ಗುರುತನ್ನು ಹೆಸರಿಸಬೇಕು.

tail -n 5 /var/log/openvpn/deploy-labels.log
# field-support deployed-client-07
# unset         legacy-laptop-02

ಆ ಟೀಕಾ ಸಾಲುಗಳು ಔಟ್ಪುಟ್ನ ರೂಪ, ನಿಮ್ಮ ಸರ್ವರ್ನ ಪ್ರತಿಲೇಖನವಲ್ಲ; ನಿಮ್ಮದೇ ಫೈಲ್ ಓದಿ. ಎರಡನೇ ಕ್ಲೈಂಟ್ ಕೂಡ ಮೌಲ್ಯವನ್ನು ತೋರಿಸಿದರೆ, ಚರವು ಪರಿಸರದ ಬೇರೆಡೆ ಹೊಂದಿಸಲಾಗಿದೆ, ಮತ್ತು ನೀವು ಪೀರ್ ಕ್ಷೇತ್ರವಲ್ಲದೆ ಹಳೆಯ ಸೆಟ್ಟಿಂಗ್ ಓದುತ್ತಿದ್ದೀರಿ.

ಸಂಪರ್ಕಕ್ಕಾಗಿ ಸರ್ವರ್ ಲಾಗ್ ಅನ್ನೂ ಪರಿಶೀಲಿಸಿ. ಪೀರ್ ಮಾಹಿತಿ ಅಲ್ಲಿ ಕಾಣಿಸಬಹುದು, ಇದು ಡೀಬಗ್ ಮಾಡಲು ಅನುಕೂಲಕರ ಮತ್ತು ಮೌಲ್ಯಗಳನ್ನು ನೀರಸವಾಗಿಡಲು ಕಾರಣ: ಜನರ ಹೆಸರುಗಳಿಲ್ಲ, ಟಿಕೆಟ್ ಸಂಖ್ಯೆಗಳಿಲ್ಲ, ಲಾಗ್ ಓದುವವರು ನೋಡಿದರೆ ನಿಮಗೆ ಅಹಿತವಾಗುವಂಥದ್ದೂ ಇಲ್ಲ.

ಲೇಬಲ್ ಅನ್ನು ಪ್ರತಿಪಾದನೆಯಾಗಿ ಪರಿಗಣಿಸಿ, ಗುರುತಾಗಿ ಅಲ್ಲ

ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸಬಲ್ಲ ಯಾರಾದರೂ ಟ್ಯಾಗ್ ಬದಲಾಯಿಸಬಹುದು, ಮತ್ತು ಸುರಂಗ ದೃಢೀಕೃತವಾಗಿರುವುದು ಟ್ಯಾಗ್ಗೆ ಅಧಿಕಾರ ನೀಡುವುದಿಲ್ಲ. ಸಾಗಣೆಯು ಮೌಲ್ಯವನ್ನು ದಾರಿಯಲ್ಲಿ ರಕ್ಷಿಸುತ್ತದೆ; ಅದು ಪ್ರತಿಪಾದನೆಯನ್ನು ಪ್ರಮಾಣೀಕರಿಸುವುದಿಲ್ಲ. ಅಧಿಕಾರವು ಇನ್ನೂ ದೃಢೀಕೃತ ಗುರುತು ಮತ್ತು ಸರ್ವರ್ ಒಡೆತನದ ನೋಂದಣಿ ದಾಖಲೆಗೆ ಸೇರಿದೆ, ಮತ್ತು ಅದು ಮುಖ್ಯವಾದಾಗ ಲೇಬಲ್ ಅನ್ನು ಆ ದಾಖಲೆಯೊಂದಿಗೆ ಹೋಲಿಸಲಾಗುತ್ತದೆ.

ಆ ವ್ಯತ್ಯಾಸವೇ ಲೇಬಲ್ ಎಲ್ಲಿ ಬಳಸಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಉತ್ತಮ ಬಳಕೆಗಳೆಂದರೆ ಸೆಷನ್ ಅನ್ನು ಸರಿಯಾದ ಲಾಗ್ ಫೈಲ್ಗೆ ದಾರಿ ಮಾಡಿಸುವುದು, ಡ್ಯಾಶ್ಬೋರ್ಡ್ನಲ್ಲಿ ಪ್ರದರ್ಶನ ಗುಂಪನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದು, ಅಥವಾ ಬೆಂಬಲ ಸೆಷನ್ ಅನ್ನು ಲೇಬಲ್ ಮಾಡುವುದು, ಇದರಿಂದ ಮನುಷ್ಯರು ಅದನ್ನು ನಂತರ ಹುಡುಕಬಹುದು. ಕೆಟ್ಟ ಬಳಕೆಗಳೆಂದರೆ ಸಾಧನವನ್ನು ಸಬ್ನೆಟ್ಗೆ ಸೇರಿಸುವುದು, ಫೈರ್ವಾಲ್ ನೀತಿಯನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದು, ಅಥವಾ ಸೆಷನ್ ಯಾವ ಗ್ರಾಹಕರ ದತ್ತಾಂಶ ಓದಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುವುದು.

ಮೌಲ್ಯವು ಮಾರ್ಗ, ಪ್ರಶ್ನೆ ಅಥವಾ ಶೆಲ್ ಆಜ್ಞೆಯನ್ನು ತಲುಪುವ ಮೊದಲು ಅದನ್ನು ಮಾನ್ಯಗೊಳಿಸಿ. ನಿರೀಕ್ಷಿತ ಸ್ಟ್ರಿಂಗ್ಗಳ ಅನುಮತಿ ಪಟ್ಟಿ ನಿಯೋಜನೆ ಟ್ಯಾಗ್ಗೆ ಸಾಕು, ಮತ್ತು ಅದು ಏನೂ ವೆಚ್ಚ ಮಾಡುವುದಿಲ್ಲ. ಪೀರ್ ಒದಗಿಸಿದ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಎಂದಿಗೂ ಶೆಲ್ ಆಜ್ಞಾ ಸಾಲಿನಲ್ಲಿ ಸೇರಿಸಬೇಡಿ, ಮತ್ತು ಯಾವುದೇ ಸಂಗ್ರಹಿತ ವೀಕ್ಷಣೆಯನ್ನು ಸೆಷನ್ಗೆ ಸೀಮಿತಗೊಳಿಸಿ, ಮುಂದಿನ ಕ್ಲೈಂಟ್ ಮರುಬಳಕೆ ಮಾಡುವ ಸುರಂಗ ವಿಳಾಸಕ್ಕೆ ಅಲ್ಲ.

case "${UV_DEPLOY:-}" in
  field-support|field-qa|lab) : ;;
  *) UV_DEPLOY=unknown ;;
esac

ಸ್ವಚ್ಛವಾಗಿ ಹಿಂಪಡೆಯಿರಿ

ವೈಶಿಷ್ಟ್ಯವನ್ನು ತೆಗೆಯುವುದು ಎರಡು ಅಳಿಸುವಿಕೆ ಮತ್ತು ಒಂದು ಪರಿಶೀಲನೆ. ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಿಂದ setenv ಮತ್ತು push-peer-info ಸಾಲುಗಳನ್ನು ತೆಗೆದುಹಾಕಿ, ನಂತರ ಸರ್ವರ್ನಲ್ಲಿ ಕೊಕ್ಕೆ ಮತ್ತು ಅದರ ಲಾಗ್ ಗುರಿಯನ್ನು ತೆಗೆದುಹಾಕಿ ಅಥವಾ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ.

grep -rn 'UV_DEPLOY\|push-peer-info' /etc/openvpn/
tail -n 3 /var/log/openvpn/deploy-labels.log

ನಂತರ ಒಂದು ಕ್ಲೈಂಟ್ ಅನ್ನು ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿ ಮತ್ತು ಲಾಗ್ ಸಾಲು ಕಾಣಿಸುವುದು ನಿಂತಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಪ್ರೊಫೈಲ್ ಬದಲಾವಣೆಯ ನಂತರವೂ ಚಾಲನೆಯಲ್ಲಿರುವ ಕೊಕ್ಕೆ ಸಾಮಾನ್ಯವಾಗಿ ಪರೀಕ್ಷಾ ಸಾಧನದಲ್ಲಿ ಇನ್ನೂ ನಿಯೋಜಿಸಲಾದ ಎರಡನೇ ಪ್ರೊಫೈಲ್ ಆಗಿರುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಈಗ ಹುಡುಕುವುದು ಆಡಿಟ್ ಸಮಯದಲ್ಲಿ ಹುಡುಕುವುದಕ್ಕಿಂತ ಅಗ್ಗ.

ಕೊನೆಯಲ್ಲಿ ಉಳಿಯುವುದು ದಾಖಲಿತ ಮೂಲವನ್ನು ಹೊಂದಿರುವ ಸೆಷನ್ ಮೆಟಾಡೇಟಾದ ಸಣ್ಣ, ಸೀಮಿತ ತುಣುಕು: ಕ್ಲೈಂಟ್ ಅದನ್ನು ಪ್ರತಿಪಾದಿಸುತ್ತದೆ, ಸರ್ವರ್ ಅದನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ಪ್ರವೇಶದ ಬಗ್ಗೆ ಯಾವುದೂ ಅದನ್ನು ಅವಲಂಬಿಸಿಲ್ಲ. ಇದೇ ವೈಶಿಷ್ಟ್ಯದ ಉಪಯುಕ್ತ ಆವೃತ್ತಿ, ಮತ್ತು ಅಲ್ಲಿಗೆ ತಲುಪಲು ಹೊಸ ರುಜುವಾತು ಬೇಕಿಲ್ಲ.