sudo, &, -b vai --daemon: kā pārnest OpenVPN klientu fonā

Frāzē „palaid to fonā“ slēpjas divi jautājumi. Pirmais ir, vai šis lietotājs vispār drīkst sākt privileģētu procesu; otrais ir, vai sesija var turpināties, nevienam neko neierakstot terminālī. Apvalka ampersands neatbild ne uz vienu, un skripts, kas glabā sudo paroli mainīgajā, slikti atbild uz pirmo un atstāj otro neskartu. Atdaliet tos, un iespējas būs viegli salīdzināt.

Salīdziniet trīs kandidātus pēc īpašumtiesībām, nevis pēc ērtības.

Trīs veidi, kā pamest termināli, trīs dažādi īpašnieki

Pievienojot komandai ampersandu, apvalks to izpilda kā fona uzdevumu, un uzdevums joprojām pieder šim apvalkam. sudo var jautāt vēl pirms programmas sākuma, un OpenVPN var pēc tam jautāt atslēgas paroli vai pieteikšanos. Komandas, kas gaida ievadi, pārvietošana fonā rada procesu, kas gaida termināli, kuru neviens nevēro. Terminālis tiek atbrīvots; mijiedarbība ne.

Šī ir lētākā iespēja un tā, kas neizdodas visapjucējošāk, jo vaicājums parādās vietā, kuru operators jau ir atstājis.

sudo -b nav akreditācijas datu apstrādātājs

sudo -b izpilda komandu fonā no paša sudo skatupunkta, kas izklausās pēc trūkstošās funkcijas, bet tā nav. Saskaņā ar sudo rokasgrāmatu interaktīvās komandas šajā režīmā parasti uzvedas nepareizi, un apvalka uzdevumu vadība nevar pārvaldīt tā izveidotos procesus. Tas pārvieto procesu, nedodot tam veidu atbildēt uz jautājumiem. Nekas tajā nenodrošina privātās atslēgas paroli vai vārtejas pieteikšanos.

Ja savienojumam nepieciešama mijiedarbība, risinājums ir atbalstīta neinteraktīva autentifikācijas kārtība, nevis cits veids, kā palaist to pašu vaicājumu.

--daemon maina programmu, nevis pieteikšanos

--daemon lūdz pašu OpenVPN atvienoties pēc inicializācijas. Versijas 2.6 rokasgrāmata norāda, ka syslog novirzīšana notiek opcijas parsēšanas laikā, lai gan atvienošanās notiek vēlāk, tāpēc ziņojumi terminālī var pārstāt parādīties agrāk, nekā gaidīts. Klusums pēc šī punkta neko nepierāda par tuneli. Pievienojiet skaidru --log vai --log-append lai izvade nonāktu vietā, kur to varat izlasīt.

Dēmona režīms arī neatgriezeniski noņem konsoli. Aizsargātai privātajai atslēgai šajā režīmā ir vajadzīgs askpass , un konsolē ievadītie akreditācijas dati kopā ar kešatmiņas opcijām var atstāt vēlāku atkārtotu autentifikāciju bez vietas, kur jautāt. Pārbaudiet autentifikācijas modeli pret instalēto versiju, pirms pieņemat, ka fona palaišana pārdzīvos savu pirmo atslēgas atjaunošanu.

Ko dod sudo validācija un ko ne

sudo -v validē vai atsvaidzina kešatmiņā saglabātos vietējos akreditācijas datus, autentificējoties, ja politika to prasa. Tas nepalaid OpenVPN, neautentificējas pie vārtejas un negarantē, ka vēlāka komanda skriptā būs atļauta. sudo -n nozīmē pretējo: nejautā, bet neizdodas. Tas padara vietējo autorizācijas kļūmi skaidru, kas ir noderīgi, un neko nepasaka par to, ko OpenVPN jautās vēlāk.

Neviena no iespējām nav iemesls piešķirt visiem komandas bez paroles vai nodot administratora paroli skriptā.

Dodiet priekšroku īpašniekam, kuru var novērot

Mašīnai piederošam tunelim izmantojiet servisa instanci, kuru atbalsta distribūcija. Šāds īpašnieks nodrošina sākšanu, apturēšanu, statusu un žurnālus, un tas pārdzīvo jūsu sesijas beigas. Apvalka fona izpildes, daemonizācijas un restartēšanas cilpas salikšana vienu ap otru rada trīs īpašniekus vienam tunelim un nav skaidras atbildes, kurš darbojas.

Lai ko izvēlētos, pārbaudiet resursu, kuram tunelis pastāv. Veiksmīgs palaišanas pieprasījums ir procesa notikums, nevis strādājoša savienojuma pierādījums.