د امتیازاتو له کمولو وروسته: کوم OpenVPN فایلونه لا کار کوي؟
هغه ډیسکریپټرونه چې د کمولو دمخه پرانیستل شوي وو لا کار کوي؛ هغه لارې چې وروسته بیا پرانیستل کیږي نه. پرېکړه وکړئ چې ستاسو ترتیبات باید د دریو رنټایم فایلونو کوم یو بیا پرانیزي.
اوږد کار وخت یوازې دا ثابتوي چې پیل هغه امتیازاتو سره بریالی شو چې ډیمون په هغه لحظه کې درلودل. هغه نیمګړتیاوې چې دلته مهمې دي وروسته راځي: نوی پیرودونکی نښلوي، د لغوه کولو لیست بدلیږي، مرستندوی سکریپټ باید فایل ولیکي. هر یو یې د بې امتیازه حساب لخوا نوې پرانیستنه ده، د خپل اجازې پوښتنې او خپلې تېروتنې پیغام سره. درې پرېکړې هغه ترتیبات چې کار ته دوام ورکوي له هغو څخه بیلوي چې په بل پېښه کې ناکامېږي.
هغه څه چې ژر بار شوي له هغو څخه بیل کړئ چې وروسته پرانیستل کیږي
ډیسکریپټر د پرانیستل شوي فایل تشریح باندې یو لاس دی، او د لاسرسي حالت هغه مهال ټاکل شوی و چې تشریح جوړه شوه. د پروسې کاروونکي وروسته بدلول لاس نه بندوي، نو ځکه د root په توګه لوستل شوی کیلي فایل له کمولو وروسته هم کار کوي. حالت هم نه بدلیږي: د لوستلو لپاره پرانیستل شوی لاس د لیکلو وړ نه کیږي، او د لیکلو وړ لاس یوازې د دې لپاره نه لرې کیږي چې حساب په لاره خپل حقوق له لاسه ورکړي دي. دا دوه حقایق په دغو راپورونو کې د حیرانونکي چلند ډیره برخه تشریح کوي.
بله نیمه حافظه ده. ډیمون کولی شي یو سند تحلیل کړي، تحلیل شوي توکي وساتي او فایل بند کړي؛ په کار کې پاتې کیدونکی څه معلومات دي، نه پرانیستل شوی فایل. نو ځکه روان ترافیک نه دا ثابتوي چې ډیسکریپټر پرانیستل شوی او نه دا چې د لارې نوم رسیدونکی دی. یوازې دا ثابتوي چې د اوسني غونډې لپاره اړین توکي مخکې ترلاسه شوي وو.
وروسته پرانیستنه بله معامله ده. دا د اوسنیو اسنادو، اوسني امنیتي شرایطو او اوسني نصبولو لید لاندې پرمخ ځي، نو هغه لاره چې په پیل کې لوستل کیده کیدای شي په راتلونکي اړیکه کې رد شي. څرخیدنه یوه ډکه ورزیاتوي: په همدې لارې نوم باندې نوی فایل لیکل شته ډیسکریپټر له زاړه شي سره تړلی پریږدي، نو بیا بارول کیدای شي بریالي ښکاره شي پداسې حال کې چې ډیمون لا تر اوسه پخوانی منځپانګه کاروي. د څرخیدنې د اغیزې باور کولو دمخه د پروسې inode له هغه سره چې په ډیسک کې دی پرتله کړئ.
د دریو رنټایم لوستنو نومونه او دا چې هر یو کله پیښیږي
درې سرچینې معمولا د پیل څخه ډیر وروسته پرانیستل کیږي، او په بیلابیلو وختونو کې ناکامېږي. د یو ځانګړي پیرودونکي کنفیګریشن فایل هغه مهال لوستل کیږي چې هغه پیرودونکی نښلوي، نو کیدای شي د یو کاروونکي لپاره ماته شي پداسې حال کې چې نور دوام کوي. د لغوه کولو معلومات د همکار تصدیق پر مهال او بیا د فایل د بدلولو پر مهال کتل کیږي. لنډمهاله فولډر یوازې هغه مهال لمس کیږي چې سکریپټ یا پلگ ان څه ولیکي.
له دریو څخه هیڅ یو د پیل لارې پورې اړه نه لري، نو ځکه هغه سرور چې اونۍ روغ و په راتلونکي اړیکه کې ناکامیدای شي. دا ډله د سمون خاوند هم نوموي: لومړي دوه د ډیمون حساب لاندې پر کنفیګریشن د لوستلو اجازې دي، او دریمه یې د نري هدف لرونکې لیکنې وړ ځای دی.
| Path reopened later | What triggers the open | First sign when it fails |
|---|---|---|
| Client configuration file | A connection for that client identity | One client rejected while others connect |
| Revocation data | Peer authentication, including after replacement | Revoked and valid peers both refused |
| Script or plugin temporary directory | A helper needs to create a file | The helper exits with a path error |
persist-key د ډیرو خلکو له انګیرنې څخه نري پوښتنې ته ځواب وایي. دا کیلي فایل د مستند شوو SIGUSR1 او ping-restart بیا تنظیمونو په اوږدو کې پرانیستی ساتي, او د CCD فایلونو، د لغوه کولو معلوماتو، مرستندوی اجریدونکو یا د پروسې بشپړ بیا پیل لپاره هیڅ نه کوي. هغه لا هم خپلو پرانیستنې لارو ته ځي، په هغه وخت کې د هر هغه حساب لاندې چې روان وي.
حساب او هغه لید چې په رښتیا یې لري تایید کړئ
د unit فایل باور کولو پرځای له روان ډیمون څخه وپوښتئ چې کوم حساب کاروي، بیا ځواب له هغه څه سره پرتله کړئ چې unit ټاکي. ناسمونې لومړی حل کیدونکی شی دی، ځکه هر وروستی اجازه کتنه د هغه چا په توګه چلیږي چې پروسه په رښتیا ده. بیا لاره یو یو برخه وګرځئ؛ تیریدل په هر کچه ارزول کیږي، نو د نه تیریدونکي فولډر دننه لوستل کیدونکی فایل لا هم نه لوستل کیږي. وروستی فایل حالت لومړی نه، وروستی پوښتنه ده.
نوم ځایونه او د خدمت شګه بکسونه هغه پولې ورزیاتوي چې مالکیت او حالت بټونه یې نه تشریح کوي. هغه لاره چې ستاسو په شیل کې ښکاري کیدای شي په chroot، د نصب نوم ځای یا هغه unit کې چې کورني فولډرونه پټوي نه وي یا یوازې لوستلو وړ وي. امنیتي ماډلونه یوه بله طبقه ورزیاتوي، نو هغه فایل چې لوستلو وړ ښکاري کیدای شي د پرانیستلو پر مهال رد شي.
ps -o user:12,pid,args -C openvpn
systemctl show -p User -p Group -p ProtectHome -p RootDirectory [email protected]
sudo -u openvpn namei -l /etc/openvpn/ccd/aliceد مدیر په شیل کې بریالۍ لوستنه له دغو یوځای شوو شرایطو څخه هیڅ یو نه ازموي. کتنه د ډیمون حساب په توګه، د همدې نوم ځای او شګه بکس سره چل کړئ، یا ومنئ چې نتیجه ستاسو شیل تشریح کوي نه سرور. دریمه لارښوونه د هغې ازموینې ارزانه بڼه ده: د هرې برخې حالت چاپوي او په هغه لومړۍ برخه کې ناکامېږي چې د ډیمون حساب یې نشي تیریدلی.
د رنټایم لیکنې لپاره خپل فولډر ورکړئ
لوستنه یوازې د لیست نیمه ده. مرستندوی سکریپټ کیدای شي د حالت فایل جوړولو ته اړتیا ولري، پلگ ان کیدای شي خپل کنفیګریشن ته څنګه حالت ولیکي، او هغه لیکنې د کنفیګریشن ونې د لیکنې وړ کولو سره نه پوښل کیږي. ځانګړي فولډر ته هغه د لیکلو اجازه ورکړئ چې د هغه دنده یې غواړي، د هغه خاوند او حالت سره چې تاسو یې تشریح کولی شئ. یوازې لوستل کیدونکي هر څه لپاره یوازې لوستنې لاسرسي ته لومړیتوب ورکړئ.
د شخصي کیلي اجازې د پالیسي فایلونو څخه جلا وساتئ. هغه کیلي چې د بیا تنظیم وروسته باید بیا لوستل شي د هرې اړیکې پر مهال لوستل کیدونکي پیرودونکي فایل څخه بیل غوښتنه لري، او دواړو لپاره یو اسانه حالت د ستونزې له غوښتنې څخه ډیر لاسرسی ورکوي. د نري مالکیت ځانګړی ډیمون حساب د پراخې ډلې څخه اسانه کتل کیږي. کله چې کیلي باید بیا تنظیمونه برداشت کړي، persist-key د فولډر پراخولو پرځای بیا لوستل لرې کوي.
د هغې پېښې له مخې پرېکړه وکړئ چې بیا تولیدولی شئ
ژوندی تونل په کوډ کې یوازې یوه لاره ثابتوي. هغه پېښه چې فایل ته اړتیا لري یوازینی ازموینه ده چې ستاسو د پام وړ پرانیستنه پوښي، که هغه نوې پیرودونکي اړیکه وي، بدل شوی د لغوه کولو فایل وي، اجازه شوې نرمه بیا تنظیم وي یا پلان شوی بیا پیل وي. پېښه غوره کړئ، چل کړئ، او لومړنې نه وروستنې تېروتنه وساتئ.
د نرمې بیا تنظیم لپاره یو سیګنال او د unit ثبت ښیي چې کیلي بیا لوستل شوې که نه. سیګنال واستوئ، بیا هغه وروستي کرښې ولولئ چې unit لیکلي:
systemctl kill -s SIGUSR1 [email protected]
journalctl -u [email protected] -n 40 --no-pagerداسې نتیجه مه اخلئ چې یوازې د امتیازاتو د کمیدو له امله زیانمن شوی ډیمون نور نشي کولی فایلونه بدل کړي. دا چې لا څه کولی شي د پاتې اسنادو، د هغه وړتیاوو، هغو فولډرونو چې کولی شي پکې ولیکي او هر هغه لیکنې وړ ډیسکریپټر پورې اړه لري چې لا یې ساتلی. د امتیازاتو کمول واک تنګوي، او د رنټایم پرانیستنو لیست ښیي چې څومره. هغه پوله د کنفیګریشن ترڅنګ ولیکئ تر څو بل کس یې بیا کشف کولو ته اړ نه شي.