En OpenVPN-Client provisiounéiere mat Etappen, déi bei Feeler stoppen

Provisiounsskripten, déi e Feeler mellen an duerno weiderlafen, si schläim wéi Skripten, déi ni lafen. D'Client-Ariichtung beréiert geschützt Schlësselen, eng Identitéit um Gateway an e Service, deen eventuell schonn Trafik zerwéiert. Jidderee vun dëse brauch eng Stopbedingung, an d'Skript muss wëssen, wéi eng Etapp et erreecht huet, wéi et gestoppt huet.

Behandel dat Ganzt als eng eenzeg Transaktioun mat fënnef Kontrollpunkten, a maach datt all Kontrollpunkt vu sech aus refuséiert weiderzemaachen.

Verbesser d'Inputen, ier s du de Dateisystem beréiers

Fänk mat engem explizitte Contrat un: eng Identitéit, eng Profilsquell, ee virgesinnene Service-Besëtzer. Préif, datt de Profil existéiert, datt de Certificat an de Schlëssel, op déi en sech bezitt, liesbar sinn, an datt den Zil-Verzeechnis zum erwaarten Pak gehéiert. En Wee, dee sech opléist, ass kee Beweis, datt de Material dohannert komplett ass.

Verwierf eidel Variabelen fréi. Eng net gesaten $DEVICE, déi sech op näischt ausdeent, mécht aus install -m 400 $KEY /etc/openvpn/client/ eng Kopie, déi op en Verzeechnis gezilt ass, an de Feeler kënnt méi spéit als Service, dee säi Schlëssel net liese kann.

Setz de Profilsaz am Virbereedungsverzeechnis zesummen

Bau fir d'éischt de komplette Saz op enger privater Plaz: Profil, CA, Client-Certificat, Schlëssel an all Hëllefsprogramm, deen de Profil oprufft. Kopéier mat install -m 400 -o root -g root, sou datt d'Rechter beim Uleeë gesat ginn an net duerno. Kontrolléier duerno d'Referenzen am Profil, well eng relativ ca oder key Zeil sech géintiwwer dem Aarbechtsverzeechnis vun der Unitéit opléist, soubal de Service start. Et soll näischt an den aktive Verzeechnis geschriwwe ginn, bis de ganze Saz validéiert.

Halt en net-geheimen Impress fest vun deem, wat dëse Laf produzéiert huet, zum Beispill sha256sum office.conf nieft engem Versiounsmarker gespäichert. Genee deen eenzege Wäert erlaabt et engem Nei-Laf, eng Aktualiséierung vun engem Näischt-Doen z'ënnerscheeden.

Tausch atomar aus a behalt de virege Saz

Beweeg de virbereete Saz op seng Plaz als eng eenzeg Operatioun, wou de Dateisystem et erlaabt, a behalt de gepréifte virege Saz ënner engem Zäitstempel. Eng deelweis Kopie, déi en neie Profil nieft engem ale Schlëssel léisst, produzéiert e Service, dee sech mat der falscher Identitéit authentifizéiert a näischt Nëtzleches iwwer de Grond loggt. Wann den Austausch net atomar ka sinn, ordonéier d'Beweegungen esou, datt de Profil zulescht ukommt.

Wann d'Zil schonn existéiert, entscheed explizit, ob dëse Laf eng Aktualiséierung, en identeschen Nei-Laf oder e Konflikt mam Profil vun engem aneren Apparat ass. En Profil, deen zu enger anerer Identitéit gehéiert, stil ze iwwerschreiwen ass de Wee, wéi zwou Maschinnen ee Certificat deelen. Verwierf de Laf an nenn de konfliktende Besëtzer.

Aktivéier ee Besëtzer a bewijs et

Wiel ee Aktivéierungswee, entweder d'systemd-Instanz oder NetworkManager, a benotz en konsequent. D'Starte vun engem net geréierten openvpn-Prozess nieft enger aktivéierter Unitéit gëtt zwee Tunnelen, konkurréierend DNS-Aktualiséierungen an et gëtt keng kloer Äntwert drop, wienengen e Stopbefehl zilt. No der Aktivéierung préif systemctl is-active openvpn-client@office, duerno d'Route zum entfernte Prefix, duerno resolvectl status fir de Resolver, deen den Tunnel installéiert huet. Schluss domat of, datt s du eng Ressource erreechst, fir déi den Tunnel existéiert.

En lafende Prozess an e gréngen Tray-Ikon sinn Prozessfakten, kee Beweis, datt d'Identitéit an d'Trafikpolitik d'Iwwergab iwwerlieft hunn.

Nei-Laf an Ausrangerung sinn getrennte Workflowen

En zweeten Laf soll sech op déiselwecht gepréift Dateien an deeselwechte Besëtzer konvergéieren, net en zweeten Kont oder en zweeten Daemon uleeën. D'Ausrangerung ass hir eege Prozedur: stopp de geneeë Besëtzer, archivéier oder läsch de lokale Profil no der Politk, a widderruff d'Identitéit um Gateway. Eng lokal Schlësseldatei ze läsche widderrufft keng Kopie, déi d'Maschinn schonn verlooss huet.

Behalt e Recuperatiounswee, deen net vum Tunnel ofhänkt, wéi Konsolzougang oder eng zweet Verwaltungsroute. Eng Ännerung an der Provisioun, déi dech aus der Maschinn ausschléisst, ass eng gescheitert Ännerung, och wann all Etapp Succès gemellt huet.

D'Skript, dat et wäert ass ze behalen, ass eng Transaktioun ronderëm Besëtz a Beweiser. Eng kuerz Lëscht vu privilegiéierten Kopiéierbefehlen ass net datselwecht.