Iggwida kont Linux wieħed permezz ta’ OpenVPN b’regola UID

Ir-rotot ibbażati fuq il-kont jaqblu meta kull socket IPv4 li jkun proprjetà ta’ utent Linux wieħed għandu joħroġ permezz ta’ mina eżistenti, u ma jaqblux meta għandek bżonn iżolament fil-livell tal-programm. Jagħżel skont l-UID, għalhekk kull ma jaħdem taħt dak il-kont jaqa’ fl-ambitu, inkluż ix-xogħol batch li nsejt. Issolvi din il-mistoqsija qabel ma tmiss ip rule waħda.

L-eżempju t’hawn taħt jassumi kont tal-browser iddedikat fl-UID 1500, apparat tal-mina tun-office li jġorr l-indirizz lokali 10.80.0.11, u VPN li jippermetti d-destinazzjonijiet inkwistjoni. Id-daemon innifsu jaħdem barra minn dak l-UID.

Tliet kundizzjonijiet li jagħżlu l-mekkaniżmu

Agħżel regola UID meta l-identità li tagħmel ix-xogħol hija l-kont, meta jkun aċċettabbli li tittrasferixxi t-traffiku kollu tiegħu, u meta namespace ikun itqal milli jistħoqqlu l-kompitu. Agħżel namespace tan-netwerk meta x-xogħol jeħtieġ interfaces, resolver u tabella tar-rotot tiegħu stess. Agħżel proxy jew rabta għal kull proċess meta applikazzjoni waħda biss għandha tiġi mċaqalqa filwaqt li l-bqija tas-sessjoni tibqa’ fuq il-passaġġ lokali. Li tikteb dawn it-tlieta jwaqqaf regola li bil-kwiet tkopri aktar milli ma kien maħsub.

L-iżball li għandek tevita huwa li tassumi li l-lancatur jiddefinixxi s-sid. Browser li jirċievi URL minn sessjoni ta’ utent ieħor ma ħoloqx sockets taħt l-UID 1500, u ebda regola mhi se ċċaqlaq it-traffiku li jiġġenera.

It-tabella, ir-regola u l-gwardjan

Wara li tiċċekkja r-regoli eżistenti u tagħżel numri tat-tabella u tal-prijorità li mhumiex użati, l-arranġament huwa qasir: rotta default f’tabella iddedikata li ġġorr l-indirizz sors tal-mina, regola li tibgħat it-tfittxijiet tal-kont lejha, u regola finali li timblokka r-ritorn. Miktub, dan huwa sostituzzjoni ta’ rotta idempotenti, ip -4 route replace default dev tun-office src 10.80.0.11 table 51820, segwita minn ip -4 rule add priority 12100 uidrange 1500-1500 lookup 51820.

Il-gwardjan huwa ip -4 rule add priority 12101 uidrange 1500-1500 unreachable, u huwa aktar importanti milli tissuġġerixxi t-tul tiegħu. Mingħajru, rotta neqsin fit-tabella 51820 taqa’ fuq il-link ta’ fuq tas-soltu u l-kont bil-kwiet inixxi traffiku li l-politika kellha taqbad. Miegħu, l-istess falliment isir timeout, jiġifieri imblukkar minflok ritorn.

Żomm ir-regola normali tal-indirizz lokali quddiem dawn, u iddeċiedi b’mod konxju jekk l-eċċezzjonijiet LAN jew tal-ġestjoni jiġux qabel it-tabella magħżula. Rotta default misjuba hemmhekk ma tistaqsix aktar tard lil main għal rotta LAN aktar speċifika, li tissorprendi lil dawk li jistennew li t-tqabbil tal-itwal prefiss japplika bejn tabelli. Ikteb il-lista tal-eċċezzjonijiet maħsuba fin-nota tal-bidla sakemm ir-raġunament għadu frisk.

X’tħalli barra r-rotot UID: DNS

Id-daemon tar-resolver jiftaħ is-sockets upstream tiegħu taħt l-UID tiegħu stess, għalhekk l-għażla tal-1500 ma ċċaqlaqx dawk il-mistoqsijiet fit-tabella 51820. L-integrazzjoni tad-DNS hija deċiżjoni separata: indika l-kont lejn resolver li jista’ jintlaħaq mill-mina, jew aċċetta li r-riżoluzzjoni tal-ismijiet issegwi l-passaġġ tal-host filwaqt li t-traffiku le.

Mistoqsija loopback lejn stub lokali mhix prova li l-mistoqsija upstream użat ir-rotta tal-browser, u lanqas tagħbija ta’ paġna b’suċċess mill-cache.

IPv6 jeħtieġ is-sentenza tiegħu fid-disinn

Ir-regoli t’hawn fuq ikopru biss IPv4. Jekk il-ħtieġa hija mina IPv4 mingħajr IPv6 dirett minn dan il-kont, żid regola finali riveduta bħal ip -6 rule add priority 12101 uidrange 1500-1500 unreachable, imbagħad iċċekkja r-regoli IPv6 preċedenti flimkien mal-eċċezzjonijiet loopback li trid iżżomm.

Li timblokka IPv6 dirett mhuwiex tunnelling b’żewġ stacks; hija konfini. Li ssejħilha tunnelling se tħawwad lill-persuna li jmiss li taqra l-politika, u l-konfużjoni tidher bħala ticket tal-helpdesk dwar sit IPv6 miksur.

Ivverifika bil-kont veru, imbagħad ħu ħsieb iċ-ċiklu tal-ħajja

Qabbel it-tfittxijiet: ip -4 route get 198.51.100.25 uid 1500 kontra l-istess destinazzjoni b’UID ordinarju. Imbagħad agħmel talba permessa taħt il-kont iddedikat u ċċekkja l-indirizz sors li jara t-tarf imbiegħed. Indirizz sors preferut mhuwiex source NAT, u mhuwiex se jegħleb applikazzjoni li torbot xi ħaġa oħra. Jekk iż-żewġ tfittxijiet jagħtu l-istess passaġġ, ir-regola mhix tagħmel dak li taħseb.

Żomm it-tabella, ir-regoli u l-ħajja tar-rotta tal-mina taħt sid wieħed, iċċekkja erġa’ konnessjoni u telf tal-mina, u meta tirtira l-politika neħħi biss l-entrati eżatti tagħha. Namespace għadu disponibbli jekk interfaces separati u stat separat huma dak li tabilħaqq għandek bżonn.