openvpn3 session-start каттоо маалыматтарынын файлын этибарга албайт

2.x кардар менен туташсаңыз профиль иштейт; ошол эле файлды 3.x кардарга берсеңиз, ал сырсөз сурамында токтойт. --auth-user-pass creds.txt параметрин openvpn3 session-start буйругуна берсеңиз да жыйынтык ошол эле, анткени жаңы кардарда бул файлды окуган баскыч жок. Баш тартуу атайын: каттоо маалыматтары сессияга таандык, ал эми сессияны терминалдагы процесс эмес, кызмат түзөт. Интерактивдүү сурам менен autoload жардамчысынын бирин тандап, ар бири эмнени сактаарын билиңиз.

Сакталган файлдын барар жери жок себеби

Жаңы дизайнда конфигурацияны башкаруу жана сессияларды башкаруу системалык шина аркылуу сүйлөшкөн өзүнчө кызматтар. Ушул бөлүнүү кадимки колдонуучуга артыкчылыктуу демон анын ордуна корголгон сырсөз файлын окубастан сессияны баштоого мүмкүндүк берет. Файлга негизделген каттоо маалыматтарынын бул моделде орду жок, анткени аларды окуй турган демон тараптагы баштоо баскычы жок. Баш тартуу архитектуранын натыйжасы, жетишпеген функция эмес.

Эски үлгүнү атап коюу пайдалуу, анткени андан баш тартуу жеңил болот: профиль каттоо маалыматтарынын файлына шилтеме жасайт, ал эми туннель башталганда демон аны окуйт. Жаңы моделде каттоо маалыматтары сессияга таандык жана ошол сессия башталганда берилет. openvpn3 session-start --config work.ovpn буйругу аларды сурайт, ал эми --auth-user-pass creds.txt параметри четке кагылат, анткени бул жолдо файлды ача турган эч нерсе жок. Таба турган ар бир 2.x рецепти мындан ары жок баскычты болжолдойт.

Конфигурация менен сайттын жергиликтүү жөндөөлөрү да бөлүнгөн, бул экинчи таң калышты түшүндүрөт. Профиль толук көрүнүшү мүмкүн, бирок ал түзгөн байланышта маршруттоо жана резолвер конфигурациясы жок. Бул бөлүктөр импорттолгон файлдан өзүнчө, сайттын жергиликтүү жөндөөлөрү катары колдонулат.

Сурам жолу жана ал калтырган сессия

Сессия башталганда сырсөздү берүү көздөлгөн жумуш агымы. Кардар бир жолу сурайт, каттоо маалыматтарын сессиянын бэкендине берет жана улантат:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

Бул жол менен дискке эч нерсе жазылбайт. Сессия терминал жабылгандан кийин да иштей берет, бул процесс кабык менен кошо өлөт деп күткөндөрдү таң калтырат. Сессияларды иштетүүнү кызматка өткөрүүнүн мааниси ушунда. Сессия аны сураган терминалдан узак жашайт жана аны ачык токтотуу керек.

Алдында адам отурган жумуш станциясы үчүн бул эң коопсуз вариант да, анткени коргоого же унутууга сакталган сыр жок. Ал адам баспаган жерде гана жараксыз.

Клавиатуранын алдында адам жок учурдагы автоматташтыруу

Машина адамсыз туташууга тийиш болгон жерде долбоор openvpn3-autoload жардамчысын сунуштайт. Ал профилдердин каталогун жана ар бир профилге туура келген дескрипторду окуйт, ал эми дескриптор каттоо маалыматтарын ачык текстте берет. Жардамчы өзүнчө бинар, адатта /usr/sbin/openvpn3-autoload жолунда, session-start буйругунун флаги эмес. Аны жөндөө каталогду түзүү, профилди дескриптор күткөн ат менен көчүрүү жана дескрипторду жазуу дегенди билдирет.

Колдонуучуга арналган жөндөө мындай көрүнөт жана сессияга ээ боло турган аккаунт менен иштетилет. Каталог режими башка жергиликтүү колдонуучуларды сыртта калтырат:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Дескриптор каттоо маалыматтарын атайт жана автоматтык баштоону сурайт. Сырсөздүн маанисин версияларды башкаруудан тышкары кармаңыз:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Андан кийин жардамчыны бир жолу чакырып, сессиянын пайда болгонун тастыктаңыз. Экинчи буйрук текшерүү, дагы бир жөндөө кадамы эмес:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

Жүктөлүүдө openvpn3-autoload.service деп аталган пакеттелген бирдик колдонуучуга арналган эмес, тутумдук каталог /etc/openvpn3/autoload колдонот. Бул жерге root ээлиги жана катаалыраак режим керек, ал эми дескриптор сырсөздү дагы эле ачык текстте кармайт. Компромисс ачык: сырсөз эми дискте жатат, ошондуктан бул каталогду сыр катары кармап, хосттон тышкаркы камдык көчүрмөлөрдөн чыгарып, адам бар кезде ар дайым интерактивдүү жолду тандаңыз.

Сырсөз бузулушуна окшош шина бузулуштары

Каттоо маалыматтарына таңылган кээ бир бузулуштар такыр андай эмес. Кызматты активдештирүү жолун атаган уруксат катасы эки нерсенин бирин билдирет: бэкенд иштеп жаткан жок, же чакырганда аны активдештирүүгө уруксат жок. Профилди түзөтүү экөөнү тең өзгөртпөйт. Конфигурацияга кол тийгизүүдөн мурун кызматтын абалын жана кошо берилген шина саясатын текшериңиз.

Төмөнкү буйруктар ушул экөөнү ажыратат. Биринчиси бэкенддин иштеп жатканын билдирет; экинчиси акыркы шина каталарын көрсөтөт:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Дагы бир кеңири тараган туура эмес окуу пайда болуп, дароо жоголгон сессия. Бул үлгү адатта сайттын жергиликтүү жөндөөлөрү эч качан колдонулбаганын билдирет, ошондуктан туннель аны пайдалуу кылган маршруттар жана резолвер өзгөртүүлөрү жок көтөрүлдү. Акыркы сапты эмес, ырааттуулукту окуңуз: сессия түзүлдүбү, туташкан абалга жеттиби, аман калдыбы, бул үч өзүнчө факт.

Эски кардар дагы эле колдонулганда

2.x кардар дагы эле каттоо маалыматтарынын файлын кабыл алат, ал эми ачкычтар шакеги сыр дискке тийбестен анын сурамына жооп бере алат. Каптоочу жазууну чечет, ошондуктан файл сырсөздү эмес, издөөнү атайт. Бул түзүлүш ачык ачкычтар шакегине көз каранды, аны кирүү сессиясы жок контейнер же бирөө киргенге чейин иштей турган бирдик камсыздай албайт. Анда издөө куралы жаза албаган коллекцияны билдирет, ошондуктан ачкычтар шакегинин бузулушу каттоо маалыматтарынын бузулушуна окшойт.

Мунун баарын куруудан мурун, профилдеги keepalive жөндөөсү кайра баштоо зарылдыгын такыр жок кылабы, текшериңиз. Иштеп турган сессия сиз автоматташтырмак болгон сурамга эч качан жетпейт.