Оңдоо: OpenVPN Auth колдонуучу атын стандарттык киргизүүдөн окуй алган жок

could not read Auth username from stdin аутентификация маселесине окшош жана андай эмес. OpenVPN колдонуучу атын стандарттык киргизүүдөн сураганга аракет кылды, окула турган эч нерсе тапкан жок жана серверге туташканга чейин токтоду. Эсеп толук жарактуу болушу мүмкүн; жөн гана процесстин сурай турган адамы жок.

Ошондуктан биринчи пайдалуу кадам — кардар эмнени окуп жатканын ырастоо, туташууну кайра аракет кылуу же сервер жагындагы жөндөөлөрдү өзгөртүү эмес. Төмөнкү текшерүүлөрдү тартиби менен өткөрүңүз жана биринчи ишке ашпаган жерде токтоңуз.

Катаны жергиликтүү киргизүүнүн ишке ашпоосу катары окуңуз

Качан auth-user-pass файл аргументи жок пайда болгондо, кардар суроону күтөт. Интерактивдүү кабыкта бул суроо иштейт, анткени процесстин терминалы бар. systemd, cron тапшырмасы же контейнер астында стандарттык киргизүү адатта бош болот жана окуу сиз көрүп жаткан ката менен дароо кайтат.

Билдирүү ишке ашпаган талааны да атайт — колдонуучу аты же сырсөз — бул окуу канчалык алыска барганын көрсөтөт. Колдонуучу аты жок болсо, процесс такыр эч нерсе окуй алган эмес. Ийгиликтүү колдонуучу атынан кийин сырсөз жок болсо, киргизүү агымы эки окуунун ортосунда бүткөн, бул жарым жазылган файлга же жабылган түтүккө мүнөздүү.

Башка нерсени өзгөртүүдөн мурун кардардын өз көз карашын ырастаңыз. Аны ошол эле конфигурация жана ошол эле колдонуучу менен алдыңкы планда иштетип, суроо чыгабы же жокпу байкаңыз. Эгер ал сиздин кабыкта чыгып, кызмат менеджеринин астында чыкпаса, айырма киргизүү булагында, эсептик маалыматта эмес. unit файлы менен кабык чөйрөсүн тез салыштыруу адатта кайсынысы терминал берерин көрсөтөт.

Кызматка колдоого алынган эсептик маалымат булагын бериңиз

Көзөмөлсүз иштөө үчүн колдоого алынган булак — аргумент катары берилүүчү эсептик маалымат файлы: auth-user-pass. Файл жөнөкөй текст катары окулат: биринчи сап — колдонуучу аты, экинчиси — сырсөз. Ага мындай абсолюттук жол менен шилтеме жасаңыз: /etc/openvpn/client/creds , ошентип кызмат эсебинин иш каталогу директиванын маанисин өзгөртө албайт.

Уруксаттар жол сыяктуу эле маанилүү. Файл кардарды иштеткен эсеп үчүн окула турган, калгандар үчүн эмес болушу керек жана кызмат эсебине же кызматты камтыган тобу бар root'ко таандык болушу тийиш. Мазмунун басмай, ошол эсеп катары окулаарын текшериңиз.

Салыштырмалуу жол — үнсүз ишке ашпоо режими. Профиль бир каталогдо болушу мүмкүн, ал эми systemd процессти башка жерде баштайт, ошондуктан кабыгыңызда чечилген файл кызмат үчүн чечилбейт. Эсептик маалыматты туруктуу жерге көчүрүп, аларга абсолюттук шилтеме жасаңыз. Андан кийин кызматты бир жолу иштетип, профиль редакторунун көрүнүшүнө ишенүүнүн ордуна ошол эле жол колдонуларын ырастаңыз.

Эгер жайылтуу бир жолку кодду же башка интерактивдүү чакырыкты талап кылса, кардардын иш агымы аны чын эле көзөмөлсүз колдойбу, ошону чечиңиз. Статикалык сырсөзү бар файл айланма кодго жооп бере албайт, ал эми жооп берүүгө мүмкүн болбогон суроону кайталоо маалымат кошпойт.

Эмне үчүн script-security жардам бербейт

script-security кардардын скрипттерди иштете аларын жана аларга канча бере аларын, анын ичинде сырсөздү чөйрө өзгөрмөсү аркылуу скриптке берүүгө болорун башкарат. Колдонуучу аты менен сырсөздүн башында кайдан келээри тууралуу ал эч нерсе айтпайт.

Аны жогорку деңгээлге көтөрүү — кеңири тараган рефлекс, анткени билдирүүдө Auth аталат, бирок ал киргизүү булагын эмес, скрипт уруксаттарын өзгөртөт жана кардардын эмнени аткара аларын кеңейтет. Эгер жардамчы скрипт долбоордун бөлүгү болсо, адегенде киргизүү булагын оңдоп, коопсуздук деңгээлин жайылтууга керектүү эң төмөнкү мааниде кармаңыз.

Башкаруу интерфейси — мыйзамдуу балама. Frontend ага туташып, эсептик маалымат сурамын кабыл алып, колдонуучу аты менен сырсөз менен жооп бере алады, кээ бир GUI ушундай иштейт. Эгер колдонсоңуз, аны жергиликтүү дарекке байлаңыз, башкаруу сырсөз файлы менен коргоп, ким туташа аларын чектеңиз, анткени бул кардардын башкаруу каналы.

Кардар файлды окугандан кийинки кийинки баскычты текшериңиз

Кардар эсептик маалыматты окуй алгандан кийин, кийинки ишке ашпоо — сервер менен чыныгы алмашуу, анын билдирүүсүнүн мааниси башкача. Ошол баскычтагы аутентификация ишке ашпоосу сервер эсепти четке какканын билдирет; чакырык жообу сервер башка факторду каалаарын билдирет. Аларды ошол эле маселенин кайталанышы эмес, жаңы маселелер катары караңыз.

Бүт жолду кызмат иштете тургандай сынап көрүңүз: ошол эле эсеп, ошол эле иш каталогу, ошол эле unit чөйрөсү. Кабыгыңыздан башталганда гана иштеген туташуу чөйрө өзгөрмөсү же терминал дагы эле агымдын бөлүгү экенин билдирет.

Андан кийин сырларды тийиштүү жерде сактаңыз. Буйрук сабынын аргументтериндеги сырсөздөр процесс таблицасында көрүнөт, ал эми жөндөө чыгарылышындагы сырсөздөр билеттерге түшөт. Корголгон файлды же башкаруу интерфейсин колдонуңуз, журналдарды эсептик маалыматты кайталабаган деңгээлде кармаңыз жана укугу бар кимдир бирөө кеткенде файлды алмаштырыңыз.

Текшерүү тизмеси: абсолюттук эсептик маалымат жолу, кызмат эсеби катары окулат, терминал талап кылынбайт, script-security өз минимумунда, башкаруу интерфейси байланган жана аутентификацияланган болсо гана, жана алынган сервер жообу өзүнчө окуя катары каралат.