Soll d'Benotzersëtzung de SSHFS-Mount iwwer VPN besëtzen?

E gemeinsame Dossier mounten nodeems de VPN eropkënnt, bedeit zwou Identitéiten, déi liicht verwiesselt ginn: de Komponent, deen d'Netzwierk konfiguréiere darf, an de Kont, deen um Fichierserver alogge darf. Si sinn selten déiselwecht. E Root-eegene VPN-Hook ass eng schlecht Plaz, fir den SSHFS-Mount vun engem Desktop-Benotzer unzefänken, well en weder den Agent vum Benotzer nach déi virgesinn Mount-Eegeschaft huet. Wann d'Eegeschaft fir d'éischt richteg ass, gëtt den Ausléiser einfach.

Zwou Identitéiten, zwou getrennte Berechtegungen

De VPN-Client brauch Privilegien, fir Routen an Interface'en ze änneren. Den SSHFS-Mount brauch eng SSH-Identitéit, déi de Fichierserver akzeptéiert, an e FUSE-Mount, deen dem Kont gehéiert, deen d'Fichieren liese wäert. Ee Skript, dee als root leeft, erfëllt déi éischt Ufuerderung a brécht déi zweet stëll.

Als root mounten hannerléisst d'Fichieren ausserhalb vun der Desktop-Sëtzung an eventuell ouni Zougang zum Agent, deen de Schlëssel vum Benotzer hält. De Mount existéiert, de Benotzer kann net duerch en schreiwen, an de Feeler gesäit aus wéi e Berechtegungsproblem op der Serversäit. Dee falschen Diagnos kascht en Nomëtteg an en Ticket un d'Storageteam.

Entscheet, wéi ee Kont de Mount besëtzt, ier Dir eng Automatiséierung schreift, well dës Wiel bestëmmt, wou den Ausléiser lieft a wéi eng Umeldungsinformatiounen en erreeche kann.

Stellt fir d'éischt vun Hand e benotzereegene Mount op

Fänkt mat engem ugemellte Benotzer mat engem eidelen Mountpunkt un, engem autoriséierten SSH-Kont an engem funktionéierende Wee zum Server duerch den Tunnel. E manuelle Mount setzt d'Basis fest, déi all Automatiséierung muss reproduzéieren.

mkdir -p "$HOME/mnt/team"
sshfs [email protected]:/exports/team "$HOME/mnt/team"
mount | grep sshfs

D'Nimm sinn Beispiller, also ersetzt den Host an den Exportwee, déi Äre Server tatsächlech ubitt. Verifizéiert de Hostschlëssel duerch de guttgeheeschen Prozess bei där éischter Verbindung. Notéiert, datt e VPN-Kontpasswuert net automatesch d'Umeldungsinformatioun vum Storagekont ass, an dat ass eng heefeg Ursaach vu fehlgeschlagenen Versich.

Fëllt en als normale Benotzer mat engem Mountpunkt aus, deen deem Benotzer gehéiert. Standardmässig erreecht nëmmen de mountende Kont d'Fichieren, an allow_other erweidert dës Grenz op all lokale Benotzer. Dat ass eng bewosst Erweiderung vum Zougang, net en Ëmwee fir d'Automatiséierung.

Loosst den Ausléiser am selwechte Sëtzungskontext handelen

Loosst déi ënnerstëtzt VPN-Evenementintegratioun eng Benotzersëtzungsaktioun ufroen, amplaz unzehuelen, e privilegiéierte Callback kéint eng Desktop-Umeldungsinformatioun léinen. Begrenzt den Ausléiser op de virgesinne Verbindungsidentifikator an net op en Interface, deen zoufälleg tun0 heescht. Eng Dispatcher-Reeg, déi op dat Falscht passt, feuert bei all Netzwierkännerung, och bei deenen, déi näischt mat dësem Mount ze dinn hunn.

D'Aktioun soll den erwaarten Hostnumm bestätegen, e existéierende Mount bemierken an ee begrenzten Versuch maachen. Eng Offroe-Schleif, déi all puer Sekonnen en neien SSHFS-Prozess startet oder eng Umeldungsufro widderhëlt, während de Server erof ass, verwandelt eng kuerz Stéierung an eng Koup hänken Prozesser. Begrenzt de Versuch mat engem Timeout an engem eenzegen Neiversuch.

nmcli -g UUID connection show --active
systemctl --user list-units 'sshfs*'
pgrep -a sshfs

Den éischte Befehl gëtt de Verbindungsidentifikator, deen den Dispatcher solle passen. Déi aner zwee weisen, ob en Versuch schonn leeft, an dat ass d'Kontroll, déi Duplikater verhënnert.

En oniwwerwaachten Service brauch seng eege guttgeheescht Umeldungsinformatiounen a seng eege Hostverifizéierung a sengem eegene Ausféierungskontext. En kann net unhuelen, datt en grafeschen Agent opgespaart ass, an en soll net probéieren een opzespären.

Plangt d'Ofschneiden, ier Dir d'Botzen forcéiert

Fir eng geplangt Ofschneiden, fëllt d'Fichieroperatiounen of a montéiert aus dem mountende Benotzer sengem eegene Workflow of. Zielt op de Mountpunkt an net op de Prozess, a bestätegt d'Resultat, ier Dir Erfolleg mellt.

fusermount3 -u "$HOME/mnt/team"
mountpoint "$HOME/mnt/team"

Montéiert nëmmen de Mount of, deen dëse Workflow erstallt huet. Wann en beschäftegt ass, ass dat eng Entscheedung vun der Applikatioun: eng forcéiert Oftrennung, déi existéiert fir en Hook Erfolleg zréckzeginn, verstoppt Datenverloscht amplaz se ze verhënneren.

Onerwaarte Verloscht verhält sech anescht. SSHFS dokumentéiert, datt eng Netzwierkënnerbriechung eng Dateiesystemoperatioun blockéiere kann, an d'Optioun reconnect restauréiert den Transport ouni Handgrëffer ze restauréieren: eng Datei, déi virun der Reconnect opgemaach gouf, kann beim nächste Schreiwen feelen, an eng ënnerbrach Schreiwen gëtt net erhale. Dee Ënnerscheed ass am wichtegsten fir Editoren, déi eng Datei Stonnen opgemaach halen. Plangt e Widderopmaachschrëtt amplaz eng Erhuelung unzehuelen.

Test d'Verhalen mat eemolege Fichieren, ier Dir drop vertraut. En Dossier, deen no der Réckkéier vum Tunnel erëm erschéngt, beweist net, datt fréier Handgrëffer oder net gespäichert Aarbecht iwwerlieft hunn.