ifconfig-noexec SSH сессияңызды сактабайт: ал чындыгында эмне кылат
Ал OpenVPNдин өз интерфейс дарегин жөндөөсүн басат. Ал SSH үчүн жооп маршрутун камсыз кылбайт, бардык маршрут өзгөрүүлөрүн өчүрбөйт жана жетишпеген даректи бербейт.
Бир форум темасында ifconfig-noexec туннель көтөрүлгөндө SSH сессиясын тирүү кармап турган чечим катары сунушталат. Бул ойлом опция эмнеге тийгенин текшермейинче акылга сыярлык угулат. Ал OpenVPN туннель интерфейсинин дарегин жөндөөгө тоскоол кылып, ал маанилерди ордуна скрипттерге берет; бирок башкаруу байланышыңызга келген жооптор кайда кетээри жөнүндө эч нерсе айтпайт. Тескерисинче ишенүү колдонууга жараксыз дареги бар туннель жана ошого карабастан өлгөн SSH сессиясын жаратат.
Бул опция чындыгында эмнени тапшырат
Демейде клиент туннель түзмөгүн көтөрүп, сервер берген жергиликтүү жана алыскы даректерди дайындайт. ifconfig-noexec коюлган болсо, ал кадам өткөрүп жиберилет жана келишилген маанилер скрипт чөйрөсүнө экспорттолот, ошондо башка нерсе аларды колдоно алат.
Ээлик өтөт. Анын ордуна эч нерсе ойлоп табылбайт.
Демек, бул опция жооп берген суроо — интерфейсти ким жөндөйт, ал эми ал жооп бербеген суроо — пакеттер сизге кантип кайтып келет. Бул экөөнү өз-өзүнчө кармаңыз, болбосо дареги жок интерфейстин ордун толтуруу үчүн бүт кечти маршруттарды оңдоого жумшайсыз.
Ар башка иштери бар үч окшош опция
Бул үй-бүлөнү адаштыруу оңой, анткени аттары бир сөз менен айырмаланат жана белгилери бири-бирин жабат. Бирөөнү тандоодон мурун ар бири эмнени басарын окуңуз.
| Option | What stops happening |
|---|---|
ifconfig-noexec | OpenVPN's own tunnel-address configuration; values go to scripts instead |
route-noexec | Automatic route addition and removal; route details go to a script |
route-nopull | Server-pushed routes and related options such as DNS are rejected |
Булар өз-өзүнчө түшүнүүгө тийиш альтернативалар, бирге жабыштырылуучу топтом эмес. Дарек жөндөөсүн басуу маршрут өзгөрүүлөрүн, брандмауэр эрежелерин же DNS алып жүргөн түртүлгөн опцияларды баспайт. Тапшырылган скрипт да маршруттарды өзгөртүүгө эркин, бул — качуунун ордуна сиз тапшырып жаткан чечим.
Эгер жеткирүүчүнүн кардары кыймылдаткычты ороп турса, профилге төмөнкү деңгээлдеги директива салып, ороп турган нерсе аны сыйлайт деп күтүүнүн ордуна анын колдоого алынган интеграциясын колдонуңуз. Орогучтар туташуу учурунда профилди көп жолу кайра жаратат, ошондуктан кол менен киргизилген өзгөртүү катасыз жоголот. Файлга бүт кечти жумшаардан мурун кардар өз жөндөөлөрүн кайда сактаарын текшериңиз. Бул таблицанын ар бир саптына тиешелүү, сиз издеген сапка гана эмес.
Сиз коргоону каалаган SSH сессиясы
SSH байланышынын баштапкы дареги, максат дареги жана жооп жолу бар. Толук туннелдин демейкисин жаңы орноткон серверде коомчулук алдындагы дарегиңизге келген жооп туннелге дал келет жана VPN дарбазасы аны таштап салат.
Туннель интерфейсинин дарек жөндөөсүндө эч нерсе муну өзгөртпөйт.
Муну оңдогон нерсе — туннелге чейинки дарбаза аркылуу башкаруу дарегиңиз үчүн такыраак маршрут, же ошол трафикти буруучу саясат эрежеси, кошумча хост колдонгон фильтр жөндөөлөрү. Эки көйгөй кээде чогуу көрүнөт, ошентип бири экинчисинин дарысы деп жаңылыш кабыл алынат. Аларды өз-өзүнчө текшериңиз: туннелди опциясыз көтөрүп, интерфейс дарегин жана жооп жолун караңыз, анан экөөнүн кайсынысы чындыгында бузулганын чечиңиз.
Тапшырылган скрипт эмнени өзүнө алышы керек
Эгер интерфейсти чындыгында башка ээ жөндөшүн кааласаңыз, ишти тизмелеңиз: жергиликтүү жана алыскы даректи колдонуңуз, түзмөктү көтөрүңүз, ажыратуу учурунда даректөөнү калыбына келтириңиз же алып салыңыз жана кайра туташкандан кийин ошону кайталаңыз. Бир ийгиликтүү сессиянын маанилери катуу коддолбошу керек, анткени сервер кийинки жолу башка жуп бериши мүмкүн.
Кардар экспорттогон чөйрө өзгөрмөлөрү ошол иш үчүн колдоого алынган жалгыз кирүү.
env | grep -E '^ifconfig_|^route_'Каалаган route-up скриптинин ичинде бул өзгөрмөлөр жеткиликтүү; cron тапшырмасынан же кол менен иштетилген shellден андай эмес. Версияңыз кайсы жашоо цикл илгегин колдонорун жана илгек интерфейсти өзгөртүүгө жетиштүү укуктар менен иштээрин ырастаңыз, анткени кардар мурун эле артыкчылыксыз колдонуучуга түшүп калган болушу мүмкүн.
Бүт жашоо циклин текшериңиз, бир сессияны эмес
Туннелди көтөрүңүз, түзмөктөгү даректи текшериңиз, анан кайра туташып, дагы текшериңиз. Бир жолу иштеп, экинчи аракетте ийгиликсиз болгон конфигурация адатта тапшырылган кадам биринчи туташууда гана аткарыларын билдирет.
Анан эки кабыл алуу өлчөмүн чогуу текшериңиз: көздөлгөн башкаруу жолу менен жаңы SSH байланышы иштейт жана уруксат берилген колдонмо туннелди туура колдонот.
Туннелдин дареги жок кезде кокустан тирүү калган эски SSH сессиясы ийгилик эмес жана эч ким ишти өзүнө албаганда бул опция дал ушундай абалды жаратат. Адегенде интерфейс дарегин, анан башкаруу жообунун жолун, анан колдонмону текшериңиз. Үчөөнүн экөө ката болсо, опция ишти жылдырган, бирок ага ээ бербеген.