SSHFS-монтирањата му припаѓаат на корисникот, не на VPN-куката

Претпоставката лесно се усвојува и тешко се забележува: VPN-куката за поврзување работи како root, па и монтирањето што го започнува треба да биде уредено како root. Таквото резонирање создава тимска папка што корисникот на работната површина не може да ја отвори, монтирање што исчезнува кога услугата-предизвикувач ќе се рестартира, и барање за автентикација во контекст каде никој не може да одговори. Куката и монтирањето се две различни работи, и само една од нив бара привилегија.

Мит: мрежната привилегија значи привилегија за монтирање

Подигнувањето интерфејс и автентикацијата на сервер за датотеки се неповрзани способности, и обично припаѓаат на различни сметки. VPN-компонентата бара доволно привилегија за менување рути и интерфејси. Сметката на серверот за датотеки бара клуч или лозинка, одлука за клучот на домаќинот и домашна папка во која се монтира. Предавањето на акредитивите од втората работа на првиот идентитет е патот по кој мрежна услуга завршува држејќи го клучот на корисникот.

На преносен сметач со еден корисник тоа може да биде истата сметка, и таа случајност не е дизајн.

Откако привилегирана кука ќе го изврши монтирањето, три работи тивко тргнуваат наопаку. Монтирањето е во сопственост на root, агентот на корисникот го нема во таа околина, и грешките се појавуваат во дневникот на мрежната услуга, а не во сесијата на која ѝ е грижа. Ниту едно од тоа не се поправа со додавање опции на командата за монтирање. Тие се поправаат со давање на работата на сесијата што го поседува идентитетот.

Зошто монтирањето му припаѓа на најавениот корисник

SSHFS-монтирањето е FUSE-монтирање во сопственост на процесот што го создал, и пристапот следи таа сопственост, а не режимот на родителската папка. Референцата препорачува обичен корисник со точка за монтирање што тој корисник ја поседува, и токму затоа монтирање создадено од root-процес е незгодно за сите други. Промена на дозволата на точката за монтирање не го поправа, бидејќи пречката е сопственикот на самото монтирање.

Започнете од рачна основна линија во корисничката сесија: постоечка празна точка за монтирање под домашната папка, овластена сметка на серверот и клуч на домаќинот веќе проверен преку вашиот одобрен процес. Монтирајте го рачно еднаш и користете го, бидејќи тоа докажува дека патот на идентитетот работи пред да постои каква било автоматизација. Запишете што ѝ требаше на командата: името на сметката, патеката за извоз и приватното име на домаќинот. Задржете го точно тој контекст за автоматизираната верзија, бидејќи работното рачно монтирање е спецификацијата што предизвикувачот мора да ја репродуцира.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Третирајте го секое име и патека во таа линија како заменски знак, вклучувајќи ја сметката и извозот. Лозинката на VPN-сметка не е автоматски акредитив на сметката за складирање.

Што треба предизвикувачот да побара од сесијата

Поддржаното уредување е барање од мрежниот настан до корисничката сесија, а не позајмен акредитив. Ограничете го предизвикувачот на врската што ја мислите, по име или UUID, а не на кој било интерфејс што случајно се вика tun0. Таа единствена промена спречува втор профил, тест-тунел или колешка сесија за отстранување грешки да започнат монтирање.

Дејството на страната на сесијата треба да го најде предвиденото постоечко монтирање и потоа да направи еден ограничен обид.

Не обидувајте се повторно при секое анкетирање и не барајте постојано акредитив додека серверот е недостапен, бидејќи двете претвораат краток прекин во заклучување на сметката. Ненадгледувана услуга е одделен дизајн со сопствени одобрени акредитиви и сопствено уредување за проверка на домаќинот во сопствен контекст на извршување, и не може да смета дека некој отклучил графички агент. Одлучете кое од двете го градите пред да изберете каде живее кодот. Поголемиот дел од збунетоста овде доаѓа од градење на едното и очекување на другото.

Исклучувањето е настан на датотечниот систем, не настан на куката

Планираното исклучување треба да ги заврши датотечните операции и да го одмонтира од сесијата на корисникот што монтирал со поддржаната команда за тој тип на датотечен систем. Присилното одвојување за куката брзо да се врати е патот по кој апликациите ја губат работната папка, а корисниците довербата во автоматизацијата. Зафатеното монтирање бара одлука на ниво на апликација, како затворање на датотеката или запирање на пишувањето, а не посилен сигнал. Излезниот статус на куката не е она што се оптимизира.

fusermount3 -u "$HOME/mnt/team"

Неочекуваното губење е друг случај, и SSHFS документира дека прекината операција може да блокира додека транспортот повторно се поврзува.

Опцијата за повторно поврзување го враќа транспортот, и датотеките отворени пред тоа повторно поврзување се уште можат да враќаат грешки и да бараат повторно отворање. Вратен VPN не докажува ништо за поранешни рачки или незачувана работа. Изберете го однесувањето што го сакате при прекин — пауза, прикажување грешка или намерно повторно монтирање — и тестирајте го со датотеки за еднократна употреба пред нешто да зависи од него.