OpenVPN клиентийг алдаа гарвал зогсдог үе шатуудаар бэлтгэх

Алдаа мэдээлээд үргэлжлүүлдэг бэлтгэлийн скриптүүд хэзээ ч ажилладаггүй скриптүүдээс дор. Клиентийн тохиргоо хамгаалагдсан түлхүүрүүд, гарц дээрх таних тэмдэг, магадгүй аль хэдийн трафик үйлчилж байгаа үйлчилгээнд хүрдэг. Эдгээр тус бүрт зогсох нөхцөл хэрэгтэй бөгөөд скрипт зогсохдоо аль үе шатанд хүрснээ мэдэх ёстой.

Бүх асуудлыг таван хяналтын цэгтэй нэг гүйлгээ гэж үзэж, хяналтын цэг бүр өөрөө үргэлжлүүлэхээс татгалздаг болго.

Файлын системд хүрэхээс өмнө оролтыг зас

Тодорхой гэрээгээр эхэл: нэг таних тэмдэг, профайлын нэг эх сурвалж, үйлчилгээний нэг зорьсон эзэмшигч. Профайл байгаа эсэх, түүний дурдсан гэрчилгээ болон түлхүүр уншигдах эсэх, зорилтот хавтас хүлээгдэж буй багцад хамаарах эсэхийг шалга. Шийдэгддэг зам нь түүний ард байгаа материал бүрэн гэдгийн баталгаа биш.

Хоосон хувьсагчдыг эрт татгалз. Юунд ч тэлэхгүй тохируулаагүй $DEVICE нь install -m 400 $KEY /etc/openvpn/client/ командыг хавтас руу чиглэсэн хуулбар болгож, алдаа нь дараа нь өөрийн түлхүүрийг уншиж чаддаггүй үйлчилгээ болж ирдэг.

Профайлын багцыг бэлтгэлийн хавтаст угсраа

Эхлээд бүрэн багцыг хувийн газар барь: профайл, CA, клиентийн гэрчилгээ, түлхүүр болон профайлын дууддаг аливаа туслах. install -m 400 -o root -g root-оор хуулж, зөвшөөрлүүд дараа биш үүсгэх үед тавигдах болтугай. Дараа нь профайл доторх лавлагааг шалга, учир нь харьцангуй ca эсвэл key мөр нь үйлчилгээ эхлэх тэр мөчид нэгжийн ажлын хавтаст хамааруулан шийдэгддэг. Бүх багц баталгаажих хүртэл идэвхтэй хавтаст юу ч бичих ёсгүй.

Энэ ажиллагаа юу үйлдсэний нууц бус хурууны хээг бүртгэ, жишээ нь хувилбарын тэмдэглэгийн дэргэд хадгалсан sha256sum office.conf. Яг тэр ганц утга нь дахин ажиллагаанд шинэчлэлтийг юу ч хийхгүй байхыг ялгах боломж олгодог.

Атомоор сольж өмнөх багцыг хадгал

Файлын систем зөвшөөрсөн газар бэлтгэсэн багцыг нэг үйлдлээр байранд нь зөөж, хянасан өмнөх багцыг цагийн тэмдэгтэй нэрэн дор хадгал. Хуучин түлхүүрийн дэргэд шинэ профайл үлдээдэг хэсэгчилсэн хуулбар нь буруу таних тэмдгээр баталгаажуулж, шалтгааны талаар ямар ч хэрэгтэй зүйл бүртгэдэггүй үйлчилгээ үүсгэдэг. Хэрэв солилт атомоор байж чадахгүй бол профайл хамгийн сүүлд буух байдлаар зөөлтүүдийг эрэмбэл.

Зорилт аль хэдийн байгаа бол энэ ажиллагаа шинэчлэлт үү, яг ижил давтан ажиллагаа юу, эсвэл өөр төхөөрөмжийн профайлтай зөрчил үү гэдгийг тодорхой шийд. Өөр таних тэмдэгт хамаарах профайлыг чимээгүй дарж бичих нь хоёр машин нэг гэрчилгээ хуваалцаж эхлэх зам. Үүний оронд ажиллагааг татгалзаж, зөрчилтэй эзэмшигчийг нэрлэ.

Нэг эзэмшигчийг идэвхжүүлж, батал

Идэвхжүүлэх нэг замыг сонго, нэг бол systemd хувилбар, эсвэл NetworkManager, мөн үүнийг тууштай хэрэглэ. Идэвхжсэн нэгжийн дэргэд удирдлагагүй openvpn процесс эхлүүлэх нь хоёр туннель, өрсөлдөгч DNS шинэчлэлтүүд, мөн зогсоох тушаал алийг нь чиглэж байгаа талаар тодорхой хариулт өгдөггүй. Идэвхжүүлсний дараа systemctl is-active openvpn-client@office-г шалга, дараа нь алсын префикс рүү хүрэх маршрут, дараа нь туннелийн суулгасан шийдэгчийн хувьд resolvectl status-г шалга. Туннель байгаа шалтгаан болсон нэг нөөцөд хүрч дуусга.

Ажиллаж буй процесс болон ногоон тавиурын дүрс нь процессын баримт, таних тэмдэг болон трафикийн бодлого шилжүүлэлтийг даван туулсан гэдгийн баталгаа биш.

Дахин ажиллагаа ба ашиглалтаас гаргалт нь тусдаа ажлын урсгал

Хоёр дахь ажиллагаа нь мөн тэдгээр хянасан файл болон мөн тэр эзэмшигч рүү нийлэх ёстой, хоёр дахь бүртгэл эсвэл хоёр дахь демон үүсгэх ёсгүй. Ашиглалтаас гаргалт нь өөрийн журам: яг эзэмшигчийг зогсоож, бодлогын дагуу локал профайлыг архивлэх эсвэл устгаж, гарц дээр таних тэмдгийг хүчингүй болго. Локал түлхүүрийн файлыг устгах нь машиныг аль хэдийн орхисон хуулбарыг хүчингүй болгодоггүй.

Туннелээс хамааралгүй сэргээх зам хадгал, жишээ нь консолын хандалт эсвэл хоёр дахь удирдлагын маршрут. Машинаас гадуур түгжих бэлтгэлийн өөрчлөлт нь үе шат бүр амжилт мэдээлсэн ч бүтэлгүй өөрчлөлт юм.

Хадгалах үнэ цэнэтэй скрипт бол эзэмшил ба нотолгооны эргэн тойрны гүйлгээ. Онцгой эрхтэй хуулбарлах тушаалуудын богино жагсаалт нь ижил зүйл биш.