status=200/CHDIR: systemd qatt ma beda OpenVPN

Is-servizz ifalli, il-logs isemmu spawn u direttorju, u l-ewwel xewqa hija li tiċċekkja l-konfigurazzjoni tal-VPN. F'dak il-fajl għadu xejn ma nqara. systemd falla waqt li kien qed iħejji l-proċess, qabel ma tħaddem il-fajl eżekutabbli, għalhekk l-ebda parser, l-ebda ċertifikat u l-ebda host remot ma ġew ikkonsultati. Li taqra l-kodi tal-istat bħala dikjarazzjoni dwar systemd minflok dwar OpenVPN hija dik li tagħmel dan investigazzjoni qasira.

Aqra l-kodi tal-istat qabel l-applikazzjoni

Il-kodi numeriku wara l-isem tas-servizz isemmi l-istadju li falla. Falliment ta' direttorju jiġi rrappurtat bħala stat CHDIR, filwaqt li fajl eżekutabbli li ma setax jitħaddem huwa kodi kompletament differenti. It-tnejn jidhru simili f'linja sommarja u m'għandhom xejn komuni fil-kawżi tagħhom.

Din id-distinzjoni hija importanti għax il-korrezzjonijiet jinsabu f'fajls differenti. Falliment CHDIR jikkonċerna mogħdija u kif is-servizz jaraha. Falliment exec jikkonċerna l-binarju, l-interpretu tiegħu jew mount mhux relatat. Li tibdel ir-remote tal-VPN, il-lista taċ-ċifrari jew il-mogħdija taċ-ċertifikat ma tistax tindirizza lanqas waħda minnhom.

Ikkonferma li l-falliment huwa fil-bidu u mhux wara tħaddim b'suċċess. Jekk is-servizz ħadem ilbieraħ u issa qed ifalli fl-istess stadju, xi ħaġa nbidlet fid-direttorju, fil-permessi tiegħu jew fl-unit innifsu, u dik il-bidla hija l-evidenza li għandek tfittex.

Staqsi lill-unit fejn trid tkun

Aqra l-unit effettiv minflok il-fajl li taħseb li huwa installat, għax id-drop-ins jistgħu jissostitwixxu d-direttorju tax-xogħol mingħajr ma qatt teditja l-unit prinċipali. L-output ta' show iwieġeb il-mistoqsija direttament:

systemctl cat [email protected]
systemctl show [email protected] -p WorkingDirectory -p RootDirectory -p User -p ProtectHome
journalctl -u [email protected] -b --no-pager | tail -30

Għall-mudell tas-server upstream, id-direttorju tax-xogħol huwa d-direttorju tal-konfigurazzjoni tas-server u l-isem tal-istanza jagħżel il-profil ġo fih. Istanza msejħa branch għalhekk tistenna l-fajl tagħha stess fl-istess direttorju, u profil imqiegħed x'imkien ieħor ma jissodisfax xejn ir-rekwiżit tad-direttorju tax-xogħol.

Qabbel dak li titlob l-unit ma' dak li jeżisti. Mogħdija li kienet teżisti, link simboliku li issa jindika x'imkien ieħor, jew isem ta' istanza li m'għadux jaqbel ma' direttorju huma kollha bidliet ordinarji li jipproduċu eżatt dan il-falliment.

Iċċekkja l-mogħdija kif jara s-servizz

Is-shell tiegħek u s-servizz ma jaqsmu l-istess veduta tas-sistema tal-fajls. Direttorju root jew immagine root konfigurati jbiddlu t-tifsira ta' mogħdija assoluta ġewwa l-unit, u mogħdija li tidher ovvjament fuq il-host tista' tkun nieqsa f'dak in-namespace. Aqra s-settings tal-unit qabel ma tafda test manwali.

Il-permessi jaggravaw il-problema. Is-servizz jitħaddem bħala utent speċifiku, u dak l-utent irid ikun jista' jgħaddi minn kull direttorju ġenitur biex jilħaq il-mira, mhux biss jaqra l-mira nnifisha. Direttorju li jinqara minn root u ma jistax jinqasam mill-utent tas-servizz jipproduċi falliment li jidher bħal mogħdija nieqsa.

namei -l /etc/openvpn/server
systemctl show [email protected] -p ProtectSystem -p ReadOnlyPaths

Is-settings tal-hardening huma wkoll parti minn din l-istampa. Unit li jaħbi d-direttorji tad-dar jew jagħmel parti mis-sistema tal-fajls biss qari jagħmel eżatt dak li ġie konfigurat, u d-direttorju tax-xogħol irid jgħix x'imkien fejn is-sandbox għadu jesponih.

Sewwi l-proprjetarju, imbagħad stenna żball ieħor

Sewwi t-tqassim jew l-unit permezz ta' min jippossjedi dik il-konfigurazzjoni. Li tmexxi profil fid-direttorju mistenni hija korrezzjoni leġittima meta t-tqassim ikun ħażin, iżda ma tispjegax direttorju li ma jistax jiġi mxandar, għalhekk tittrattahx bħala t-tweġiba ġenerali.

Irreżisti t-triq qasira li twessa' l-permessi fuq is-siġra tal-konfigurazzjoni jew tneħħi s-sandbox. It-tnejn ineħħu s-sintomu filwaqt li jneħħu l-protezzjonijiet li tqiegħdu hemm apposta, u l-falliment li jmiss ikun aktar diffiċli biex jiġi interpretat.

Erġa' ibda l-istanza u aqra l-avveniment li jmiss minflok ma tassumi s-suċċess. L-iżball li jmiss probabbli huwa li OpenVPN ma jistax jiftaħ il-fajl tal-konfigurazzjoni tiegħu, li huwa progress: id-direttorju tax-xogħol ġie mxandar u l-parser issa qed jaħdem. Segwi l-mapping reali tal-fajls tal-unit minn hemm minflok ma terġa' lura għat-troubleshooting tan-netwerk.

Is-referenza tal-eżekuzzjoni ta' systemd tiddefinixxi kif id-direttorju tax-xogħol jiġi interpretat flimkien mad-direttorji root u s-sandboxing. Il-mudell li għandu jiftakar huwa sempliċi: kull kodi tal-istat isemmi stadju differenti, u huma biss l-iżbalji tal-applikazzjoni stess li jiddeskrivu l-applikazzjoni.