status=200/CHDIR: systemd huet OpenVPN ni gestart

Den Service schléit fehl, d'Logge nennen e Spawn an en Dossier, an den éischten Instinkt ass d'VPN-Konfiguratioun ze kontrolléieren. An där Datei gouf nach näischt gelies. systemd huet versot, wärend en de Prozess virbereet huet, ier d'Exekutabel gelaf ass, also gouf weder e Parser nach en Zertifikat nach en entfernten Host konsultéiert. De Statuscode als Aussag iwwer systemd amplaz iwwer OpenVPN ze liesen ass dat, wat dëst zu enger kuerzer Enquête mécht.

Liest de Statuscode virun der Applikatioun

Den numeresche Code nom Servicenumm nennt d'Etapp, déi versot huet. En Dossierfehler gëtt als CHDIR-Status gemellt, wärend eng Exekutabel, déi net konnt lafen, e komplett anere Code ass. Déi zwee gesinn an enger Zesummefaassungszeil änlech aus an hunn näischt gemeinsam an hiren Ursaachen.

Dësen Ënnerscheed ass wichteg, well d'Korrekturen a verschiddene Fichieren sinn. E CHDIR-Fehler geet ëm e Wee a wéi de Service en gesäit. En Exec-Fehler geet ëm de Binär, säin Interpreter oder en onverbonnene Mount. D'Ännerung vum VPN-Remote, vun der Chiffrelëscht oder vum Zertifikatswee kann keen vun deenen zwou léisen.

Bestätegt, datt de Fehler beim Start ass an net no engem erfollegräiche Laf. Wann de Service gëschter funktionéiert huet a just elo an der selwechter Etapp feelt, huet sech eppes um Dossier, sengen Erlaabnesser oder der Unit selwer geännert, an déi Ännerung ass de Beweis, no deem Dir siche sollt.

Frot d'Unit, wou se wëll sinn

Liest déi effektiv Unit amplaz vun der Datei, déi Dir als installéiert mengen, well Drop-ins den Aarbechtsdossier iwwerschreiwe kënnen, ouni datt Dir jeemools d'Haaptunit ännert. D'Show-Ausgab beäntwert d'Fro direkt:

systemctl cat [email protected]
systemctl show [email protected] -p WorkingDirectory -p RootDirectory -p User -p ProtectHome
journalctl -u [email protected] -b --no-pager | tail -30

Fir de Upstream-Servermodell ass den Aarbechtsdossier de Serverkonfiguratiounsdossier an den Instanznumm wielt de Profil dobannen. Eng Instanz mam Numm branch erwaart dofir hir eege Datei am selwechten Dossier, an e Profil, deen soss anzwousch placéiert ass, erfëllt d'Ufuerderung vum Aarbechtsdossier guer net.

Vergläicht, wat d'Unit freet, mat deem, wat existéiert. E Wee, dee fréier existéiert huet, e symbolesche Link, dee just anzwousch anescht weist, oder en Instanznumm, deen net méi zu engem Dossier passt, sinn all üblech Ännerungen, déi genau dëse Fehler produzéieren.

Kontrolléiert de Wee, wéi de Service en gesäit

Äre Shell an de Service deelen net déiselwecht Vue vum Dateisystem. E konfiguréierten Root-Dossier oder Root-Image ännert, wat en absolute Wee bannent der Unit bedeit, an e Wee, deen op dem Host evident präsent ass, kann an deem Namespace fehlen. Liest d'Astellunge vun der Unit, ier Dir engem manuellen Test vertraut.

Erlaabnesser verschäerfen de Problem. De Service leeft als e bestëmmte Benotzer, an dee Benotzer muss duerch all Iwwerdossier kënne goen, fir d'Zil z'erreechen, net nëmmen d'Zil selwer liesen. En Dossier, dee fir root liesbar an net fir de Service benotzer duerchgängig ass, produzéiert e Fehler, deen wéi e fehlende Wee ausgesäit.

namei -l /etc/openvpn/server
systemctl show [email protected] -p ProtectSystem -p ReadOnlyPaths

Hardening-Astellunge sinn och Deel vun dësem Bild. Eng Unit, déi Home-Dossieren verstoppt oder en Deel vum Dateisystem nëmme liesbar mécht, mécht genee dat, wofir se konfiguréiert gouf, an den Aarbechtsdossier muss do wunnen, wou de Sandbox en nach exponéiert.

Fléckt den Eegentemer, da waart op en anere Fehler

Korrigéiert de Layout oder d'Unit iwwer deenen, deen déi Konfiguratioun besëtzt. E Profil an den erwaarten Dossier ze réckelen ass eng legitim Korrektur, wann de Layout falsch ass, awer et erklärt keen Dossier, an deen een net erakënnt, also behandelt et net als déi allgemeng Äntwert.

Widdersteet der Ofkierzung, d'Erlaabnesser um Konfiguratiounsbaum ze erweideren oder de Sandbox ewechzehuelen. Béides lässt de Symptom verschwannen, wärend et d'Schutzmoossnamen ewechhëlt, déi do bewosst placéiert goufen, an de nächste Fehler wäert schwéier ze interpretéieren sinn.

Start d'Instanz nei a liest dat nächst Evenement, amplaz Erfolleg unzehuelen. Den wahrscheinlechen nächsten Fehler ass, datt OpenVPN seng Konfiguratiounsdatei net kann opmaachen, wat Fortschrëtt ass: den Aarbechtsdossier gouf betratt an de Parser leeft just. Follegt vun do der tatsächlecher Dateimapping vun der Unit, amplaz zréck op Netzfehlersich ze goen.

D'systemd-Ausféierungsreferenz definéiert, wéi den Aarbechtsdossier zesumme mat Root-Dossieren a Sandboxing interpretéiert gëtt. D'Muster fir ze behalen ass einfach: all Statuscode nennt eng aner Etapp, an nëmmen d'eegen Fehler vun der Applikatioun beschreiwen d'Applikatioun.