ifconfig-noexec таны SSH сессийг аварч чадахгүй: энэ нь үнэндээ юу хийдэг
Энэ нь OpenVPN-ийн өөрийн интерфейсийн хаягийн тохиргоог дарж байна. Энэ нь SSH-ийн хариу маршрутыг хадгалахгүй, бүх маршрутын өөрчлөлтийг унтраахгүй, дутуу хаягийг нийлүүлэхгүй.
Нэг форумын сэдэвт ifconfig-noexec туннель босох үед SSH сессийг амьд байлгах шийдэл гэж санал болгодог. Энэ үндэслэл нь тухайн сонголт юунд хүрч байгааг шалгах хүртэл үнэмшилтэй сонсогддог. Энэ нь OpenVPN туннелийн интерфейсийн хаягийг тохируулахад саад хийж, тэдгээр утгыг оронд нь скриптүүдэд өгдөг; харин удирдлагын холболтод ирэх хариу хаашаа явдлын талаар юу ч хэлдэггүй. Эсрэгээр итгэх нь ашиглах боломжгүй хаягтай туннель, мөн хэвээр үхдэг SSH сессийг бий болгодог.
Энэ сонголт үнэндээ юуг шилжүүлдэг вэ
Өгөгдмөлөөр клиент туннелийн төхөөрөмжийг өргөж, серверийн өгсөн локал болон алсын хаягийг оноодог. ifconfig-noexec тохируулсан үед энэ алхам алгасагдаж, тохиролцсон утгууд скриптийн орчинд экспортлогдох бөгөөд өөр зүйл тэдгээрийг хэрэглэж чадна.
Эзэмшил шилжинэ. Түүний оронд юу ч зохиогдохгүй.
Тиймээс энэ сонголтын хариулдаг асуулт нь интерфейсийг хэн тохируулах вэ, харин хариулдаггүй асуулт нь пакетууд танд хэрхэн буцаж ирэх вэ. Энэ хоёрыг тусгаар байлга, тэгэхгүй бол хаяггүй интерфейсийг нөхөхийн тулд бүтэн орой маршрут засахад зарцуулна.
Өөр өөр ажилтай гурван төстэй сонголт
Нэр нь нэг үгээр ялгаатай, шинж тэмдгүүд давхцдаг тул энэ гэр бүлийг төөрөгдүүлэхэд амархан. Аль нэгийг сонгохын өмнө тус бүр юуг дарж байгааг уншаарай.
| Option | What stops happening |
|---|---|
ifconfig-noexec | OpenVPN's own tunnel-address configuration; values go to scripts instead |
route-noexec | Automatic route addition and removal; route details go to a script |
route-nopull | Server-pushed routes and related options such as DNS are rejected |
Эдгээр нь тус тусад нь ойлгох хувилбарууд бөгөөд хамт наах багц биш. Хаягийн тохиргоог дарах нь маршрутын өөрчлөлт, галт хананы дүрэм, эсвэл DNS агуулсан түлхэгдсэн сонголтуудыг дарахгүй. Шилжүүлсэн скрипт мөн маршрутыг өөрчлөх эрх чөлөөтэй бөгөөд энэ нь зайлсхийхийн оронд та шилжүүлж буй шийдвэр юм.
Хэрэв нийлүүлэгчийн клиент хөдөлгүүрийг ороож байвал профайлд бага түвшний заавар хийж, бүрхүүл үүнийг хүндэтгэнэ гэж найдахын оронд түүний дэмждэг интеграцийг ашигла. Бүрхүүлүүд холбогдох үед профайлыг дахин үүсгэдэг тул гараар хийсэн засвар алдаагүйгээр алга болдог. Файл дээр бүтэн орой зарцуулахын өмнө клиент тохиргоогоо хаана хадгалдгийг шалга. Энэ нь хүснэгтийн мөр бүрт хамаатай бөгөөд зөвхөн таны хайсан мөрөнд биш.
Таны хамгаалах гэсэн SSH сесс
SSH холболт нь эх хаяг, очих хаяг, хариу замтай. Бүрэн туннелийн өгөгдмөлийг дөнгөж суулгасан сервер дээр таны нийтийн хаяг руу очих хариу туннельтай таарч, VPN гарц үүнийг хаядаг.
Туннелийн интерфейсийн хаягийн тохиргоонд юу ч үүнийг өөрчлөхгүй.
Үүнийг засдаг зүйл бол туннелийн өмнөх гарцаар дамжин таны удирдлагын хаяг руу очих илүү тодорхой маршрут, эсвэл тэр урсгалыг чиглүүлэх бодлогын дүрэм, мөн хост тань хэрэглэдэг шүүлтийн тохиргоо юм. Хоёр асуудал заримдаа хамт гарч ирдэг бөгөөд ингэснээр нэгийг нөгөөгийн эм гэж андуурдаг. Тэдгээрийг тусад нь шалга: сонголтгүйгээр туннелийг өргөж, интерфейсийн хаяг болон хариу замыг хар, дараа нь хоёрын аль нь үнэхээр эвдэрснийг шийд.
Шилжүүлсэн скрипт юуг хүлээж авах ёстой вэ
Хэрэв та интерфейсийг үнэхээр өөр эзэн тохируулна гэж хүсвэл ажлыг жагсаа: локал болон алсын хаягийг хэрэглэ, төхөөрөмжийг өргө, салгах үед хаяглалыг сэргээ эсвэл устга, дахин холбогдсоны дараа мөн адил давта. Нэг амжилттай сессийн утгыг хатуу кодлож болохгүй, учир нь сервер дараагийн удаа өөр хос өгч болно.
Клиентийн экспортолдог орчны хувьсагчид нь тэр ажлын цорын ганц дэмжигдсэн оролт юм.
env | grep -E '^ifconfig_|^route_'Аль ч route-up скрипт дотор эдгээр хувьсагч боломжтой; cron ажил эсвэл гараар ажиллуулсан shell-ээс боломжгүй. Таны хувилбар ямар амьдралын мөчлөгийн дэгээ ашигладагийг, дэгээ интерфейсийг өөрчлөх хангалттай эрхтэй ажилладагийг баталгаажуул, учир нь клиент аль хэдийн эрхгүй хэрэглэгч рүү буусан байж болно.
Нэг сессийг биш, бүх амьдралын мөчлөгийг шалга
Туннелийг өргө, төхөөрөмж дээрх хаягийг шалга, дараа нь дахин холбогдож дахин шалга. Нэг удаа ажиллаад хоёр дахь оролдлогод бүтэлгүйтдэг тохиргоо нь ихэвчлэн шилжүүлсэн алхам зөвхөн эхний холболт дээр ажилладаг гэсэн үг.
Дараа нь хоёр хүлээн авах шалгуурыг хамт шалга: зорилготой удирдлагын замаар шинэ SSH холболт ажиллаж, зөвшөөрөгдсөн апп туннелийг зөв ашиглаж байна.
Туннель хаяггүй байхад хуучин SSH сесс санамсаргүй амьд үлдэх нь амжилт биш бөгөөд хэн ч ажлыг хүлээж авахгүй үед энэ сонголт яг тэр байдлыг үүсгэдэг. Эхлээд интерфейсийн хаяг, дараа нь удирдлагын хариу зам, дараа нь апп-г шалга. Гурвын хоёр нь буруу бол энэ сонголт ажлыг зөөсөн боловч эзэн өгөөгүй.