OpenVPN හි user පහත හෙළීම මත systemd දෘඩකරණය ගොඩගසන්න එපා
අවම වරප්‍රසාද සූත්‍ර දෙකක් එකට ගත් විට වඩා දැඩි එකක් නොවේ. හැඳුනුම් මාරුව කවුරුන් කරන්නේ දැයි තෝරන්න, පසුව සම්පූර්ණ ජීවන චක්‍රය පුරා අධිකාරිය සිතියම් කරන්න.
එකට අලවන ලද අවම වරප්‍රසාද සූත්‍ර දෙකක් වඩා දැඩි යෙදවීමක් නොදේ. එක් ආකෘතියක් ඩේමන් එකට වරප්‍රසාද සමඟ ආරම්භ වී ආරම්භකරණයෙන් පසු වරප්‍රසාද නොමැති ගිණුමකට බැසීමට ඉඩ දෙයි; අනෙක සේවා කළමනාකරුට පළමු උපදෙසින් ම සීමිත හැඳුනුම්කමක් යටතේ එය ධාවනය කිරීමට ඉඩ දෙයි. එක් එක් එක වෙන වෙනම ක්‍රියා කරන අතර, දෙකෙහි එකතුව බොහෝ විට කාර්යයන් දෙකෙන් එකක්වත් පිරිසිදුව කළ නොහැකි සේවාවක් නිපදවයි. ඉතිරිය තීරණය පිළිවෙලින් ගෙන යයි.
ආකෘති දෙකක්, මාරුවේ එකම හිමිකරු
පළමු ආකෘතිය ඩේමන්ට අයත් ය. ප්‍රජා OpenVPN හි user සහ group විකල්ප උමං සහ යතුරු සකස් වූ පසු හැඳුනුම්කම වෙනස් කරන අතර, persist-key සමඟ persist-tun එම සම්පත් පසුව ද භාවිතයට සුදුසු ලෙස තබා ගනී.
දෙවන ආකෘතිය සේවා කළමනාකරුට අයත් ය. systemd හි User= හෝ Group= සැකසුම ක්‍රියාවලිය ආරම්භ වන හැඳුනුම්කම තීරණය කරන අතර, හැකියාව උපදෙස් එයට තබා ගත හැකි දේ තීරණය කරයි. ආකෘති අතර තේරීම ආරක්ෂණ ප්‍රශ්නයක් වීමට පෙර ඇසුරුම් ප්‍රශ්නයක් වන අතර, ඇසුරුම් නඩත්තුකරු දැනටමත් ඊට පිළිතුරු දී ඇත. ඔබේ කාර්යය තෙවන විකල්පයක් නිර්මාණය කිරීම නොව, එම පිළිතුර සොයා ගැනීමයි.
දෙකම නීත්‍යානුකූල ය. වරද වන්නේ ඒවා එකම නිර්මාණයක ස්ථර ලෙස සැලකීමයි, මන්ද දෙවන ආකෘතියට පළමුවැන්නේ හැඳුනුම් මාරුව ක්‍රියාවලියට තවදුරටත් අවසර නොමැති මෙහෙයුමක් බවට පත් කළ හැකි ය.
හැඳුනුම්කම වෙනස් වන්නේ කොහේ දැයි තීරණය කරන්න
ඒකකය දැනටමත් කැපවූ ගිණුමක් ලෙස ආරම්භ වන්නේ නම්, ඩේමන්ට වෙනත් ගිණුමක් වීමට දෙන උපදෙස දෘඩ කළ සේවාවක් කිසිදා නොකළ යුතු setuid සංක්‍රමණයක් ඉල්ලා සිටී. අසාර්ථකත්වය ආරම්භයේ දී අවසර දෝෂයක් ලෙස පෙනේ, පැහැදිලි ප්‍රතිපත්ති පණිවිඩයක් ලෙස නොවේ. මෙය නැති වූ හැකියාවක් ලෙස කියවේ, එය මිනිසුන් හැඳුනුම් ප්‍රශ්නය වෙත නොව වඩා පුළුල් සීමා කට්ටලයක් වෙත තල්ලු කරයි.
කිසිවක් සංස්කරණය කිරීමට පෙර ස්ථාපිත ඇසුරුම ඇත්ත වශයෙන්ම සපයන දේ කියවන්න, එහි drop-in නාමාවලිය ඇතුළුව. සමහර ඒකක කළමනාකරු දැනටමත් එය හසුරුවන බැවින් ඩේමන්ගේම පහත වැටීම හිතාමතා මඟ හරිති, තවත් සමහරක් ආරම්භකරණයෙන් පසු මාරුව සඳහා එම විකල්ප මත යැපේ. කුමන ආකෘතියක් ඔබට උරුම වූයේ දැයි නොදැන එකක් ඉවත් කිරීම ක්‍රියාත්මක සේවාවක් ආරම්භ නොවීමට හේතු වන ක්‍රමයයි.
තෝරාගත් ආකෘතිය එක පේළියක ලියන්න: කළමනාකරු-හිමිකම හෝ ඩේමන්-හිමිකම. පසුව එන සෑම උපදෙසක් ම එම වාක්‍යයට අනුකූල විය යුතු අතර, මිශ්‍ර ඒකකයක් සම්මුතියක් නොව දෝෂයක් ලෙස සැලකිය යුතු ය.
හැකියාවන් සීමා ය, දාන නොවේ
හැකියා සීමා කට්ටලය ක්‍රියාවලියට උපරිම වශයෙන් තබා ගත හැකි දේ පවසයි. එය සිවිලිමක් වන අතර, එහි හැකියාවක් ලැයිස්තුගත කිරීමෙන් තමා විසින් ම කිසිවක් නොදේ, එබැවින් ත්‍යාගශීලී සීමා කට්ටලයක් ඇති ඒකකයක් වුව ද උමං සෑදීමට අසමත් විය හැකි ය.
හැකියාවක් සේවාවක පරිවර්තන කට්ටලයට ඇත්ත වශයෙන්ම තබන්නේ AmbientCapabilities= ය. systemd ක්‍රියාත්මක කිරීමේ යොමුව උපදෙස් දෙක වෙන වෙනම ලේඛනගත කරන අතර, එම වෙනස මාර්ගගත හැකියා උපදෙස්වලින් වැඩි ප්‍රමාණයක් විස්තර කරයි.
අසාර්ථක වන මෙහෙයුම එය හඳුනා ගැනීමෙන් පසුව පමණක් හැකියාවක් එක් කරන්න. පුළුල් සීමා කට්ටලයක් සැබෑ හේතුව සඟවා සේවාව නිර්මාණය අදහස් කළ ප්‍රමාණයට වඩා වරප්‍රසාද සහිතව තබයි. සිවිලිම තවදුරටත් කාර්යය විස්තර නොකරන බැවින් එය ඒකකය සමාලෝචනය කිරීම ද අපහසු කරයි. සැබෑ දෝෂය නිවැරදි වූ පසු අමතර හැකියාව ඉවත් කරන්න.
ජීවන චක්‍රය පුරා අධිකාරිය සිතියම් කරන්න
සෑම අදියරකදී ම ක්‍රියාවලිය කළ යුතු දේ ලැයිස්තුගත කරන්න: ආරම්භය, ස්ථාවර තත්ත්වය, නැවත සත්‍යාපනය සහ විසුරුවා හැරීම. අතුරුමුහුණත් නිර්මාණය, මාර්ග වෙනස්කම්, ආරක්ෂිත යතුරක් කියවීම සහ සහායකයෙකු ඇමතීම සියල්ල එකම මොහොතක හෝ එකම අවශ්‍යතා යටතේ සිදු නොවේ. ලැයිස්තුව හැකියාව අනුව වර්ග කිරීමට පෙර අදියර අනුව වර්ග කරන්න.
ස්ථාවරත්ව විකල්ප නැවත සාකච්ඡා හරහා සම්පත් රැක ගනී, සහ කිසිදා නොතිබූ අවසර නොදේ. ආරම්භයේ දී ක්‍රියාවලියට කියවිය නොහැකි යතුරක් පසුව ද කියවිය නොහැකි ලෙස ම පවතී, ස්ථාවරත්ව ධජ කුමක් කීව ද. ධජ දැනටමත් ක්‍රියා කළ දේ රැක ගනී.
හවුල් නොව කැපවූ ගිණුමක් භාවිත කරන්න. OpenVPN සංවර්ධකයින් nobody සාමාන්‍ය උදාහරණයක් ලෙස භාවිත කිරීමේ පුරුද්දට එරෙහිව අනතුරු අඟවති, මන්ද සත්කාරකයේ වෙනත් සේවා දැනටමත් එම ගිණුම යටතේ ධාවනය විය හැකි අතර ඔබ සිතන හුදකලාව එහි නොමැත.
දේශීය භාරය වෙනස් කරන විශේෂාංග, උදාහරණයක් ලෙස දත්ත නාලිකා බාහිර කිරීම හෝ වෙනත් ආකාරයට සම්බන්ධ වන ගොඩනැගීමක්, කුමන මෙහෙයුම් අවශ්‍ය ද යන්න මාරු කළ හැකි ය. ඇසුරුම වෙනස් වූ විට සිතියම නැවත බලන්න, යමක් කැඩුණු විට පමණක් නොවේ.
සැලැස්ම ලියා තබන්න, නැවත ලබා ගැනීමේ ප්‍රවේශය තබා ගන්න
යෙදවීමේ වාර්තාව කළමනාකරු, ආරම්භක හැඳුනුම්කම, අපේක්ෂිත ස්ථාවර හැඳුනුම්කම සහ සෑම දානයක් ම එය අවශ්‍ය කරන මෙහෙයුම සමඟ නම් කළ යුතු ය. එම වාර්තාවයි ඊළඟ වෙනස පරීක්ෂණයක් නොව සමාලෝචනය කළ හැකි එකක් කරන්නේ.
සංස්කරණය කරන අතරතුර කොන්සෝල ප්‍රවේශය ලබා ගත හැකිව තබා ගන්න, මන්ද ආරම්භයේ දී අසමත් වන ඒකකයක් දුරස්ථව අලුත්වැඩියා කිරීම අපහසු ය. වෙනස සම්පූර්ණ යැයි පැවසීමට පෙර නැවත ආරම්භයක් සහ සම්පූර්ණ නැවත ආරම්භයක් පරීක්ෂා කරන්න. නැවත ආරම්භයක් ඉවසන ඒකකයක් ජාලය ඉහළ යාමට පෙර ද අසමත් විය හැකි ය.
සාර්ථකත්වය යනු තේරුම් ගත් අවම අධිකාරී ජීවන චක්‍රයකි, root නොවන නාමයක් යටතේ අහම්බෙන් ධාවනය වන ක්‍රියාවලියක් නොවේ.