වරප්රසාද අඩු කිරීමෙන් පසු: කුමන OpenVPN ගොනු තවමත් ක්රියා කරයිද?
අඩු කිරීමට පෙර විවෘත කළ විස්තරකාරක දිගටම ක්රියා කරයි; පසුව නැවත විවෘත වන මාර්ග නොකරයි. ඔබේ සැකසුම තුන් ධාවන කාල ගොනු අතරින් කුමක් නැවත විවෘත කළ යුතුද යන්න තීරණය කරන්න.
දිගු ක්රියාකාරී කාලයක් ඔප්පු කරන්නේ එම මොහොතේ ඩේමන් සතුව තිබූ වරප්රසාද සමඟ ආරම්භය සාර්ථක වූ බව පමණි. මෙහි වැදගත් වන අසාර්ථකතා පසුව පැමිණේ: නව සේවාලාභියෙක් සම්බන්ධ වේ, අවලංගු කිරීමේ ලැයිස්තුවක් ප්රතිස්ථාපනය වේ, සහායක ස්ක්රිප්ටයකට ගොනුවක් ලිවීමට සිදු වේ. ඒ සෑම එකක්ම වරප්රසාද නොමැති ගිණුම විසින් සිදු කරන නව විවෘත කිරීමක් වන අතර, එහිම අවසර ප්රශ්නය සහ එහිම දෝෂ පණිවිඩය ඇත. තීරණ තුනක් දිගටම ක්රියා කරන වින්යාසය ඊළඟ සිදුවීමේදී අසාර්ථක වන එකින් වෙන් කරයි.
මුලින් පූරණය වූ දේ පසුව විවෘත වන දෙයින් වෙන් කරන්න
විස්තරකාරකයක් යනු විවෘත ගොනු විස්තරණයක් මත ඇති අල්ලන කොක්කකි, ප්රවේශ ආකාරය එම විස්තරණය සෑදූ විටම තීරණය විය. පසුව ක්රියාවලියේ පරිශීලකයා වෙනස් කිරීම කොක්ක වසා නොදමයි, එබැවින් root ලෙස කියවූ යතුරු ගොනුව අඩු කිරීමෙන් පසුවත් ක්රියා කරයි. ආකාරයද වෙනස් නොවේ: කියවීමට විවෘත කළ කොක්කක් ලිවීමට හැකි එකක් නොවන අතර, ලිවීමට හැකි කොක්කක් ගිණුමට මාර්ගය මත ඇති අයිතිවාසිකම් අහිමි වූ නිසා පමණක් ඉවත් නොකෙරේ. මෙම කරුණු දෙක මෙම වාර්තාවල ඇති පුදුම සහගත හැසිරීමේ වැඩි කොටස පැහැදිලි කරයි.
අනෙක් අඩක් මතකයයි. ඩේමනයට සහතිකයක් විග්රහ කර, විග්රහ කළ ද්රව්ය තබාගෙන ගොනුව වසා දැමිය හැකිය; භාවිතයේ රැඳෙන්නේ දත්ත මිස විවෘත ගොනුවක් නොවේ. එබැවින් ගමන් කරන රහස්යතාව ගලා යාම විස්තරකාරකයක් විවෘත බව හෝ මාර්ග නාමයට ළඟා විය හැකි බව ඔප්පු නොකරයි. එය ඔප්පු කරන්නේ වර්තමාන සැසියට අවශ්ය ද්රව්ය කලින් ලබාගෙන තිබූ බව පමණි.
පසුව විවෘත කිරීම වෙනත් ගනුදෙනුවකි. එය වර්තමාන සත්යාපන, වර්තමාන ආරක්ෂක සන්දර්භය සහ වර්තමාන මවුන්ට් දර්ශනය යටතේ ක්රියා කරයි, එබැවින් ආරම්භයේදී කියවිය හැකිව තිබූ මාර්ගයක් මීළඟ සම්බන්ධතාවයේදී ප්රතික්ෂේප විය හැකිය. භ්රමණය උගුලක් එකතු කරයි: එම මාර්ග නාමය මත නව ගොනුවක් ලිවීම පවතින විස්තරකාරකය පැරණි වස්තුවට ඇමිණී තබයි, එබැවින් නැවත පූරණය සාර්ථක ලෙස පෙනුණත් ඩේමනය තවමත් පෙර අන්තර්ගතය භාවිත කරයි. භ්රමණය ක්රියාත්මක වී ඇතැයි විශ්වාස කිරීමට පෙර ක්රියාවලිය සතු inode එක තැටියේ ඇති එක සමඟ සසඳන්න.
ධාවන කාල කියවීම් තුන සහ එක් එක් විට සිදුවන්නේ කවදාදැයි නම් කරන්න
සම්පත් තුනක් සාමාන්යයෙන් ආරම්භයෙන් බොහෝ කලකට පසු විවෘත වන අතර, ඒවා විවිධ මොහොතවල අසාර්ථක වේ. යම් සේවාලාභියෙකුගේ වින්යාස ගොනුව එම සේවාලාභියා සම්බන්ධ වන විට කියවනු ලබන බැවින්, අනෙක් අය දිගටම ක්රියා කරන අතර එක් පරිශීලකයෙකුට එය බිඳ වැටිය හැකිය. අවලංගු කිරීමේ දත්ත සම වයසේ සත්යාපනයේදී සහ ගොනුව ප්රතිස්ථාපනය වන විට නැවත පරීක්ෂා කෙරේ. තාවකාලි නාමාවලිය ස්ක්රිප්ටයක් හෝ ප්ලගිනයක් යමක් ලියන විට පමණක් ස්පර්ශ කෙරේ.
තුනෙන් කිසිවක් ආරම්භක මාර්ගයට අයත් නොවේ, එබැවින් සති ගණනක් සෞඛ්ය සම්පන්නව තිබූ සේවාදායකයක් මීළඟ සම්බන්ධතාවයේදී අසාර්ථක විය හැකිය. මෙම ප්රවර්ගය නිවැරදි කිරීමේ හිමිකරුව ද නම් කරයි: පළමු දෙක ඩේමන් ගිණුම යටතේ වින්යාසය මත කියවීමේ අවසර වන අතර, තෙවැන්න පටු අරමුණක් සහිත ලිවිය හැකි ස්ථානයකි.
| Path reopened later | What triggers the open | First sign when it fails |
|---|---|---|
| Client configuration file | A connection for that client identity | One client rejected while others connect |
| Revocation data | Peer authentication, including after replacement | Revoked and valid peers both refused |
| Script or plugin temporary directory | A helper needs to create a file | The helper exits with a path error |
persist-key බොහෝ දෙනා උපකල්පනය කරනවාට වඩා පටු ප්රශ්නයකට පිළිතුරු දෙයි. එය ලේඛනගත SIGUSR1 සහ ping-restart යළි සැකසීම් හරහා යතුරු ගොනුව විවෘතව තබා ගනී, සහ එය CCD ගොනු, අවලංගු කිරීමේ දත්ත, සහායක ක්රියාත්මක කළ හැකි ගොනු හෝ ක්රියාවලියේ සම්පූර්ණ නැවත ආරම්භය සඳහා කිසිවක් නොකරයි. ඒවා තවමත් තමන්ගේම විවෘත කිරීමේ මාර්ග අනුගමනය කරයි, එම මොහොතේ ක්රියාත්මක වන ඕනෑම ගිණුමක් යටතේ.
ගිණුම සහ එයට සැබවින්ම ඇති දර්ශනය තහවුරු කරන්න
unit ගොනුව විශ්වාස කිරීම වෙනුවට ක්රියාත්මක වන ඩේමනයෙන් කුමන ගිණුම භාවිත කරන්නේදැයි අසා, පසුව පිළිතුර unit නියම කරන දෙය සමඟ සසඳන්න. විෂමතාවය මුලින්ම විසඳිය යුතු දෙයයි, මන්ද ඊළඟ සෑම අවසර පරීක්ෂාවක්ම ක්රියාවලිය සැබවින්ම කවුරුන්ද යන්නා වශයෙන් සිදු වේ. පසුව මාර්ගය සංඝටකයෙන් සංඝටකය ගමන් කරන්න; තරණය සෑම මට්ටමකදීම ඇගයේ, එබැවින් තරණය කළ නොහැකි නාමාවලියක ඇති කියවිය හැකි ගොනුවක් තවමත් කියවිය නොහැකි ලෙස රැඳේ. අවසාන ගොනු ප්රකාරය පළමු ප්රශ්නය නොව අවසාන ප්රශ්නයයි.
නාම අවකාශ සහ සේවා වැලිපෙට්ටි හිමිකාරිත්වය සහ ප්රකාර බිටු විස්තර නොකරන මායිම් එකතු කරයි. ඔබේ shell එකේ පෙනෙන මාර්ගයක් chroot, මවුන්ට් නාම අවකාශයක් හෝ නිවාස නාමාවලි සඟවන unit එකක් තුළ නොපවතින්නට හෝ කියවීමට පමණක් වන්නට පුළුවන. ආරක්ෂක මොඩියුල තවත් ස්තරයක් එකතු කරයි, එබැවින් කියවිය හැකි ලෙස පෙනෙන ගොනුවක් විවෘත කරන විට තවමත් ප්රතික්ෂේප විය හැකිය.
ps -o user:12,pid,args -C openvpn
systemctl show -p User -p Group -p ProtectHome -p RootDirectory [email protected]
sudo -u openvpn namei -l /etc/openvpn/ccd/aliceපරිපාලකයාගේ shell එකේ සාර්ථක කියවීමක් එම ඒකාබද්ධ කොන්දේසි කිසිවක් පරීක්ෂා නොකරයි. පරීක්ෂාව ඩේමන් ගිණුම ලෙස, එම නාම අවකාශය සහ වැලිපෙට්ටිය සමඟ ධාවනය කරන්න, නැතහොත් ප්රතිඵලය සේවාදායකය නොව ඔබේ shell එක විස්තර කරන බව පිළිගන්න. තුන්වන විධානය එම පරීක්ෂණයේ ලාභ සංස්කරණයයි: එය සෑම සංඝටකයකම ප්රකාරය මුද්රණය කර ඩේමන් ගිණුමට තරණය කළ නොහැකි පළමු සංඝටකයේදී අසාර්ථක වේ.
ධාවන කාල ලිවීමට තමන්ගේම නාමාවලියක් දෙන්න
කියවීම ලැයිස්තුවෙන් අඩක් පමණි. සහායක ස්ක්රිප්ටයකට තත්ත්ව ගොනුවක් සෑදීමට සිදු විය හැකිය, ප්ලගිනයකට තම වින්යාසය අසල තත්ත්වය ලිවීමට සිදු විය හැකිය, එම ලිවීම් වින්යාස ගස ලිවිය හැකි කිරීමෙන් ආවරණය නොවේ. නිශ්චිත නාමාවලියට එහි කාර්යයට අවශ්ය ලිවීමේ අවසරය දෙන්න, ඔබට පැහැදිලි කළ හැකි හිමිකරුවෙකු සහ ප්රකාරයක් සමඟ. කියවනු ලබන සියල්ලට කියවීමට පමණක් ප්රවේශයට මුල්තැන දෙන්න.
පෞද්ගලික යතුරේ අවසර ප්රතිපත්ති ගොනුවලින් වෙන් කර තබන්න. යළි සැකසීමකින් පසු නැවත කියවිය යුතු යතුරකට සෑම සම්බන්ධතාවයකදීම කියවන සේවාලාභී ගොනුවකට වඩා වෙනස් අවශ්යතාවයක් ඇත, දෙකටම එකම ලිහිල් ප්රකාරයක් ගැටලුව ඉල්ලන ප්රමාණයට වඩා ප්රවේශය දෙයි. පටු හිමිකාරිත්වයක් සහිත කැපවූ ඩේමන් ගිණුමක් පුළුල් කණ්ඩායමකට වඩා පරීක්ෂා කිරීම පහසුය. යතුර යළි සැකසීම්වලට ඔරොත්තු දිය යුතු විට, persist-key නාමාවලිය පුළුල් කරනවා වෙනුවට යළි කියවීම ඉවත් කරයි.
ඔබට නැවත නිෂ්පාදනය කළ හැකි සිදුවීමෙන් තීරණය කරන්න
ජීවමාන උමං මාර්ගයක් කේතය හරහා එක් මාර්ගයක් පමණක් ඔප්පු කරයි. ගොනුව අවශ්ය වන සිදුවීම ඔබට වැදගත් විවෘත කිරීම ආවරණය කරන එකම පරීක්ෂණයයි, එය නව සේවාලාභී සම්බන්ධතාවයක් වේවා, ප්රතිස්ථාපිත අවලංගු කිරීමේ ගොනුවක් වේවා, අවසර දුන් මෘදු යළි සැකසීමක් වේවා හෝ සැලසුම් කළ නැවත ආරම්භයක් වේවා. සිදුවීම තෝරන්න, එය ධාවනය කරන්න, අවසානය නොව පළමු දෝෂය තබා ගන්න.
මෘදු යළි සැකසීමකට එක් සංඥාවක් සහ unit එකේ ලොගය යතුර නැවත කියවා ඇත්දැයි පෙන්වයි. සංඥාව යවා, පසුව unit එක ලියූ අවසාන පේළි කියවන්න:
systemctl kill -s SIGUSR1 [email protected]
journalctl -u [email protected] -n 40 --no-pagerවරප්රසාද අඩු කළ නිසා පමණක් අවදානමට ලක් වූ ඩේමනයකට තවදුරටත් ගොනු වෙනස් කළ නොහැකි යැයි නිගමනය නොකරන්න. එයට තවමත් කළ හැක්කේ කුමක්ද යන්න ඉතිරි සත්යාපන, එහි හැකියාවන්, එයට ලිවිය හැකි නාමාවලි සහ තවමත් රඳවා ඇති ලිවිය හැකි විස්තරකාරකයක් මත රඳා පවතී. වරප්රසාද අඩු කිරීම බලය පටු කරයි, ධාවන කාල විවෘත කිරීම්වල ලැයිස්තුව කොපමණ දැයි පෙන්වයි. එම මායිම වින්යාසය අසල ලියා තබන්න, ඊළඟ පුද්ගලයාට එය නැවත සොයා ගැනීමට සිදු නොවන පරිදි.