SSHFS piesaistes pieder lietotājam, nevis VPN āķim

Pieņēmums ir viegli pārņemams un grūti pamanāms: VPN savienojuma āķis darbojas kā root, tāpēc arī tā sāktajai piesaistei jābūt sakārtotai kā root. Šāda spriešana rada komandas direktoriju, kuru darbvirsmas lietotājs nevar atvērt, piesaisti, kas pazūd, kad trigera pakalpojums tiek restartēts, un autentifikācijas uzvedni kontekstā, kurā neviens nevar atbildēt. Āķis un piesaiste ir divi dažādi darbi, un tikai vienam no tiem vajadzīgas privilēģijas.

Mīts: tīkla privilēģijas nozīmē piesaistes privilēģijas

Saskarnes pacelšana un autentifikācija failu serverī ir nesaistītas spējas, un parasti tās pieder dažādiem kontiem. VPN komponentam vajag pietiekamas privilēģijas maršrutu un saskarņu maiņai. Failu servera kontam vajag atslēgu vai paroli, lēmumu par resursdatora atslēgu un mājas direktoriju piesaistei. Otrā darba akreditācijas datu nodošana pirmajai identitātei ir ceļš, kā tīkla pakalpojums nonāk pie lietotāja atslēgas glabāšanas.

Viena lietotāja klēpjdatorā tie var būt viens un tas pats konts, un šī sakritība nav dizains.

Tiklīdz priviliģēts āķis veic piesaisti, trīs lietas klusi noiet greizi. Piesaiste pieder root, lietotāja aģenta tajā vidē nav, un kļūdas parādās tīkla pakalpojuma žurnālā, nevis sesijā, kurai tas rūp. Nevienu no tām neizlabo opciju pievienošana piesaistes komandai. Tās izlabo, nododot darbu sesijai, kurai pieder identitāte.

Kāpēc piesaiste pieder pieteiktajam lietotājam

SSHFS piesaiste ir FUSE piesaiste, kas pieder to izveidojušajam procesam, un piekļuve seko šai piederībai, nevis vecākdirektorija režīmam. Atsauce iesaka parastu lietotāju ar piesaistes punktu, kas tam lietotājam pieder, un tieši tāpēc root procesa izveidota piesaiste ir neērta visiem pārējiem. Atļauju maiņa piesaistes punktā to neizlabo, jo šķērslis ir pašas piesaistes īpašnieks.

Sāciet ar manuālu bāzes līniju lietotāja sesijā: esošs tukšs piesaistes punkts mājas direktorijā, autorizēts konts serverī un resursdatora atslēga, kas jau pārbaudīta ar jūsu apstiprināto procesu. Piesaistiet to ar roku vienreiz un izmantojiet, jo tas pierāda, ka identitātes ceļš darbojas pirms jebkādas automatizācijas. Pierakstiet, kas komandai bija vajadzīgs: konta nosaukums, eksporta ceļš un privātais resursdatora nosaukums. Saglabājiet tieši šo kontekstu automatizētajai versijai, jo strādājoša manuāla piesaiste ir specifikācija, kas triggerim jāatkārto.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Uzskatiet katru šīs rindas nosaukumu un ceļu par vietturi, ieskaitot kontu un eksportu. VPN konta parole automātiski nav krātuves konta akreditācijas dati.

Ko triggerim jāprasa sesijai

Atbalstītā kārtība ir pieprasījums no tīkla notikuma uz lietotāja sesiju, nevis aizņemti akreditācijas dati. Ierobežojiet triggeri ar to savienojumu, ko domājat, pēc nosaukuma vai UUID, nevis ar jebkuru saskarni, kas nejauši saucas tun0. Šī vienīgā izmaiņa neļauj otram profilam, testa tunelim vai kolēģa atkļūdošanas sesijai sākt piesaisti.

Sesijas puses darbībai jāmeklē paredzētā esošā piesaiste un pēc tam jāveic viens ierobežots mēģinājums.

Nemēģiniet atkārtoti katrā aptaujā un nepieprasiet akreditācijas datus, kamēr serveris nav sasniedzams, jo abi pārvērš īslaicīgu traucējumu konta bloķēšanā. Neuzraudzīts pakalpojums ir atsevišķs dizains ar saviem apstiprinātajiem akreditācijas datiem un savu resursdatora pārbaudes kārtību savā izpildes kontekstā, un tas nevar paļauties, ka kāds ir atbloķējis grafisko aģentu. Izlemiet, kuru no diviem veidojat, pirms izvēlaties, kur dzīvos kods. Lielākā daļa apjukumu šeit rodas, veidojot vienu un gaidot otru.

Atvienošana ir failu sistēmas notikums, nevis āķa notikums

Plānotai atvienošanai jāpabeidz failu darbības un jāatvieno no piesaistošā lietotāja sesijas ar atbalstīto komandu šim failu sistēmas veidam. Piespiedu atdalīšana, lai āķis ātri atgrieztos, ir ceļš, kā lietojumprogrammas zaudē darba direktoriju, bet lietotāji — uzticību automatizācijai. Aizņemtai piesaistei vajadzīgs lēmums lietojumprogrammas līmenī, piemēram, aizvērt failu vai apturēt rakstīšanu, nevis spēcīgāks signāls. Āķa iziešanas statuss nav tas, kas tiek optimizēts.

fusermount3 -u "$HOME/mnt/team"

Negaidīts zudums ir cits gadījums, un SSHFS dokumentē, ka pārtraukta darbība var bloķēties, kamēr transportējums atkal savienojas.

Atkārtotas savienošanas opcija atjauno transportējumu, un faili, kas atvērti pirms šīs atkārtotās savienošanas, joprojām var atgriezt kļūdas un tiem var būt nepieciešams atvērt no jauna. Atgriezies VPN neko nepierāda par iepriekšējiem rokturiem vai nesaglabātu darbu. Izvēlieties vēlamo uzvedību traucējuma laikā — pauzēšanu, kļūdas rādīšanu vai apzinātu atkārtotu piesaisti — un pārbaudiet to ar vienreizlietojamiem failiem, pirms kaut kas no tā ir atkarīgs.