د OpenVPN د user د غورځېدو پر سر د systemd کلکوالی مه یوځای کوئ

په یو بل پورې نښلول شوي د لږو امتیازونو دوه ترکیبونه یو ډېر کلک ځای پرځای کول نه رامنځته کوي. یو ماډل دیمون ته اجازه ورکوي چې له امتیازونو سره پیل شي او له پیل وروسته بې‌امتیازه حساب ته راکښته شي؛ بل د خدمت مدیر ته اجازه ورکوي چې له لومړي حکمه یې تر محدود هویت لاندې وچلوي. هر یو په خپله کار کوي، او د دواړو یوځای کېدل ډېری وخت داسې خدمت جوړوي چې د دوو کارونو له یو هم پاک نه شي کولی. پاتې برخه پرېکړه په ترتیب سره څېړي.

دوه ماډلونه، د بدلون یو مالک

لومړی ماډل د دیمون دی. ټولنیز OpenVPN د user او group اختیارونه وروسته له دې چې تونل او کیلي چمتو شول هویت بدلوي، او persist-key له persist-tun سره هغه سرچینې وروسته هم د کار وړ ساتي.

دویم ماډل د خدمت مدیر دی. د systemd User= یا Group= ترتیب هغه هویت ټاکي چې به پروسه ترې پیل شي، او د وړتیا لارښوونې ټاکي چې څه ساتلی شي. د ماډلونو ترمنځ ټاکنه د امنیت پوښتنې مخکې د بسته‌بندۍ پوښتنه ده، او د بستې ساتونکي دمخه دې ته ځواب ویلی دی. ستاسو کار درېیم انتخاب جوړول نه، بلکې هغه ځواب موندل دي.

دواړه قانوني دي. تېروتنه دا ده چې دوی د یو ډیزاین طبقې وګڼل شي، ځکه دویم ماډل کولی شي د لومړي د هویت بدلون داسې عملیه کړي چې پروسه نور اجازه نه لري ترسره یې کړي.

وټاکئ چې هویت چېرې بدلېږي

که یونټ دمخه د ځانګړي حساب په توګه پیل شي، د دیمون لپاره بل حساب کېدو حکم داسې setuid لېږد غواړي چې کلک شوي خدمت هېڅکله نه درلودلی شو ترسره کړي. ناکامي د پیل پر مهال د اجازې تېروتنې په توګه ښکاري، نه د روښانه پالیسۍ پیغام په توګه. دا د ورکې وړتیا په څېر لوستل کېږي, چې خلک د هویت پوښتنې پر ځای پراخې حدونو ته ورټېل وهي.

له هر څه د بدلون دمخه ولولئ چې نصب شوې بسته واقعاً څه وړاندې کوي، د هغې drop-in پوښ دې هم وي. ځینې یونټونه په قصد سره د دیمون خپله راکښته کېدنه پرېږدي ځکه مدیر دمخه ترې پالنه کوي، او ځینې د پیل وروسته بدلون لپاره پر هغو اختیارونو تکیه کوي. د دواړو له منځه وړل پرته له دې چې پوه شئ کوم ماډل مو میراث کړی، هماغه لار ده چې یو کارکوونکی خدمت پیلېدو ته نه ودرېږي.

غوره شوی ماډل په یوه کرښه ولیکئ: د مدیر ملکیت یا د دیمون ملکیت. هر وروستی لارښوونه باید له هغې جملې سره سمون ولري، او ګډ یونټ باید د سودا نه، بلکې د تېروتنې په توګه وګڼل شي.

وړتیاوې حدونه دي، بخښنې نه

د وړتیا د حدونو مجموعه وایي چې پروسه ډېر څه ساتلی شي. دا یو چت دی، او هلته د وړتیا نوملړ کول په خپله څه نه ورکوي، نو ځکه یو پراخه حدونو لرونکی یونټ هم کولی شي تونل جوړولو کې ناکام شي.

هغه څه چې واقعاً یوه وړتیا د خدمت په چاپېر مجموعه کې ایږدي AmbientCapabilities= دی. د systemd د اجرا مرجع دواړه لارښوونې جلا مستند کوي، او همدا توپیر د انټرنېټ پر وړتیاوو د ګډوډیو ډېری مشورې تشریح کوي.

وړتیا یوازې هغه وخت ورزیات کړئ چې ناکامه عملیه یې وپېژني. پراخه حدونه د اصلي لامل پټوي او خدمت له ډیزاین مقصد زیات امتیازمن پریږدي. دا د یونټ کتنه هم ستونزمنوي، ځکه چت نور کار نه تشرېح کوي. کله چې ریښتینې نیمګړتیا سمه شوه، اضافي وړتیا لرې کړئ.

واک په ژوند دوره کې تر نقشې لاندې راولئ

د هر پړاو لپاره ولیکئ چې پروسه څه باید وکړي: پیل، ټينګ حالت، بیا تصدیق او ویستل. د انټرفیس جوړول، د لارو بدلون، د خوندي کیلي لوستل او د مرستندوی بلل ټول په یو وخت یا یو ډول غوښتنو کې نه پېښېږي. لړلیک د وړتیا له مخې ترتیبولو دمخه د پړاو له مخې ترتیب کړئ.

د دوام اختیارونه سرچینې د بیا خبرو اترو په اوږدو کې ساتي، او هغه اجازې نه ورکوي چې هېڅکله نه وې ساتل شوې. هغه کیلي چې پروسه یې په پیل کې نه شي لوستلی، وروسته هم نالوستونکې پاتې کېږي، هر څه چې د دوام بیرغونه ووایي. بیرغونه هغه څه ساتي چې دمخه کار کړی و.

ځانګړی حساب وکاروئ، نه شریک حساب. د OpenVPN جوړونکي nobody د عمومي بېلګې په توګه کارولو عادت ته خبرداری ورکوي، ځکه په کوربه کې نور خدمتونه کېدای شي دمخه په هماغه حساب روان وي او هغه جلاوالی چې تاسو یې فکر کوئ هلته نه دی.

هغه ځانګړنې چې سیمه‌ای بار بدلوي، لکه د معلوماتي کانال لېږد یا بل ډول تړل شوی جوړښت، کولی شي بدل کړي چې کوم عملیات اړین دي. کله چې بسته بدله شي نقشه بیا وګورئ، نه یوازې کله چې یو څه مات شي.

پلان ولیکئ او د بیا رغونې لاسرسی وساتئ

د ځای پرځای کولو ریکارډ باید مدیر، د پیل هویت، پام‌شوی ټينګ هویت او هره بخښنه له هغې عملیې سره ونوموي چې غواړي یې. هماغه ریکارډ بل بدلون د آزموینې پر ځای د کتنې وړ کوي.

د بدلون پر مهال د کنسول لاسرسی پرانیستی وساتئ، ځکه هغه یونټ چې په پیل کې ناکام شي له لارې جوړول یې ستونزمن دي. مخکې له دې چې بدلون بشپړ ووایئ، بیا پیل او بشپړ بیا پیل وآزمویئ. هغه یونټ چې بیا پیل شوی وي کېدای شي د شبکې له پورته کېدو دمخه هم ناکام شي.

بریالیتوب یو پوهاوی شوی لږ‌واکه ژوند دوره ده، نه هغه پروسه چې ناڅاپه د root نه‌بشپړ نوم لاندې روانه وي.