SSHFS-Mounts gehéieren dem Benotzer, net dem VPN-Hook

D'Annam ass einfach ze iwwerhuelen an schwéier ze bemierken: en VPN-Verbindungshook leeft als root, also soll de Mount, deen en ufänkt, och als root ageriicht ginn. Dës Argumentatioun produzéiert en Teamverzeechnis, deen den Desktop-Benotzer net kann opmaachen, e Mount, deen verschwënnt, wann den Ausléiserservice nei start, an eng Authentifikatiounsufro an engem Kontext, wou keen se ka beäntweren. Den Hook an de Mount sinn zwou verschidde Aarbechten, a just eng vun hinne brauch Privilegien.

De Mythos: Netzwierkprivilegien heeschen Mountprivilegien

Eng Interface eropzehiewen an sech bei engem Dateiserver z'authentifizéieren sinn onverbonne Fähegkeeten, a se gehéieren normalerweis zu verschiddene Konten. D'VPN-Komponent brauch genuch Privilegien, fir Réckt an Interfaces z'änneren. De Dateiserverkonto brauch e Schlëssel oder e Passwuert, eng Entscheedung iwwer den Hostschlëssel an en Heemverzeechnis fir ze mounten. D'Berechtegungen vun der zweeter Aarbecht un déi éischt Identitéit ze ginn ass de Wee, wéi e Netzwierkservice ophalen, de Schlëssel vun engem Benotzer ze halen.

Op engem Laptop mat engem eenzege Benotzer kann dat dee selwechte Konto sinn, an dee Zoufall ass keen Design.

Soubal en privilegéierten Hook de Mount mécht, gi dräi Saachen still schif. De Mount gehéiert root, den Agent vum Benotzer fehlt an deem Ëmfeld, a Feeler erschéngen am Log vum Netzwierkservice amplaz an der Sitzung, déi et bekëmmert. Keen vun deene gëtt reparéiert, andeems een Optiounen op de Mountkommando setzt. Si ginn reparéiert, andeems een d'Aarbecht un d'Sitzung gëtt, déi d'Identitéit besëtzt.

Firwat de Mount dem ageloggte Benotzer gehéiert

En SSHFS-Mount ass e FUSE-Mount am Besëtz vum Prozess, deen en erstallt huet, an den Zougrëff follegt deem Besëtz amplaz dem Modus vum Eltereverzeechnis. D'Referenz empfielt e normale Benotzer mat engem Mountpunkt, deen deem Benotzer gehéiert, an genau dofir ass e Mount, deen e root-Prozess erstallt, fir all déi aner onbequem. Eng Berichtegungsännerung um Mountpunkt reparéiert en net, well d'Hindernis den eegene Besëtzer vum Mount ass.

Fänkt mat enger manueller Basislinie an der Sitzung vum Benotzer un: en existéierende leere Mountpunkt ënner dem Heemverzeechnis, en autoriséierte Konto um Server an en Hostschlëssel, dee schonn duerch Äre genehmegte Prozess verifizéiert gouf. Mount et eng Kéier vun Hand a benotz et, well dat beweist, datt den Identitéitswee funktionnéiert, ier et iergendeng Automatiséierung gëtt. Nott sech, wat de Kommando gebraucht huet: den Kontonumm, den Exportwee an den private Hostnumm. Haalt genau dee Kontext fir déi automatiséiert Versioun, well e funktionéierende manuelle Mount d'Spezifikatioun ass, déi den Ausléiser muss reproduzéieren.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Behandelt all Numm a Wee an där Linn als Plazhalter, abegraff de Konto an den Export. D'Passwuert vun engem VPN-Konto ass net automatesch d'Berechtegung vum Späicherkonto.

Wat den Ausléiser d'Sitzung soll froen ze maachen

Déi ënnerstëtzt Ariichtung ass eng Ufro vum Netzwierkevenement un d'Sitzung vum Benotzer, net eng geléint Berechtegung. Begrenzt den Ausléiser op d'Verbindung, déi Dir mengt, nom Numm oder UUID, amplaz op all Interface, déi zoufälleg tun0 heescht. Dee eenzeg Ännerung verhënnert, datt en zweete Profil, en Testtunnel oder dem Kolleg seng Debugging-Sitzung e Mount ufänkt.

D'Aktioun op der Sitzungssäit soll de virgesinnene existéierende Mount sichen an dann ee begrenzten Versuch maachen.

Probéiert net bei all Ofstëmmung nei a fuert net weider, eng Berechtegung ze froen, wärend den Server net erreechbar ass, well béides eng temporär Stéierung an eng Kontosperr verwandelt. En oniwwerwaachte Service ass en eegene Design mat sengen eegene genehmegte Berechtegungen a senger eegener Hostverifikatioun a sengem eegene Ausféierungskontext, an en kann net drop setzen, datt een en grafeschen Agent opgemaach huet. Entscheet, wéi enger vun den zwee Dir baut, ier Dir wielt, wou de Code wunnt. Déi meescht Verwirrung hei kënnt dohier, datt een dat engt baut an dat anert erwaart.

D'Trenne vun der Verbindung ass en Dateisystemevenement, keen Hook-Evenement

Eng geplangte Trennung soll Dateioperatioune fäerdeg maachen an aus der Sitzung vum mountende Benotzer mam ënnerstëtzten Kommando fir deen Dateisystemtyp ofmounten. Eng Trennung forcéieren, fir datt en Hook séier zréckkënnt, ass de Wee, wéi Applikatiounen hiert Aarbechtsverzeechnis a Benotzer d'Vertrauen an d'Automatiséierung verléieren. En beschäftegte Mount brauch eng Entscheedung op Applikatiounsniveau, wéi d'Datei zoumaachen oder d'Schreiwen stoppen, keen stärkeren Signal. Den Exitstatus vum Hook ass net dat, wat optimiséiert gëtt.

fusermount3 -u "$HOME/mnt/team"

Onervwaarte Verloscht ass en anere Fall, an SSHFS dokumentéiert, datt eng ënnerbrache Operatioun blockéiere kann, wärend den Transport sech erëm verbënnt.

D'Erëmverbindungsoptioun restauréiert den Transport, an Datei, déi virun där Erëmverbindung opgemaach goufen, kënnen nach ëmmer Feeler zréckginn a mussen erëm opgemaach ginn. En zréckkommende VPN beweist näischt iwwer fréier Handgrëffer oder net gespäichert Aarbecht. Wielt d'Verhalen, dat Dir bei enger Stéierung wëllt — pauséieren, e Feeler weisen oder bewosst erëm mounten — a test et mat eemolegen Dateien, ier eppes dovunner ofhänkt.