VPN සහතිකයක් ගෙනයාම එහි SELinux ලේබලය කඩන්නේ ඇයි

සහතික නිවැරදි නාමාවලියේ කියවිය හැකි මාදිලියක් සහ root හිමිකාරිත්වය සමඟ තිබිය හැක, තවමත් සේවාවට ගොනුව විවෘත කළ නොහැකි බව වාර්තා කළ හැක. SELinux පද්ධතියක එම සංයෝගය අවසර නොව, එක් නිශ්චිත යාන්ත්‍රණයක් වෙත යොමු කරයි. ලේබලය ගොනුව සමඟ ගමන් කළේ, නැවත නම් කිරීම නව වස්තුවක් නොසාදන බැවිනි. inode පැරණි මාර්ගයේ තිබූ ආරක්ෂක සන්දර්භය රඳවා ගත් අතර, නව මාර්ගයේ ප්‍රතිපත්තියට තමන්ගේම එකක් පැවරීමට කිසිදා අවස්ථාවක් නොලැබුණි.

නැවත නම් කිරීමක් ලේබලයකට සැබවින්ම කරන්නේ කුමක්ද

ගොනුවක් තම SELinux සන්දර්භය inode වෙත සම්බන්ධ කර ඇති ගුණාංග දත්ත ලෙස දරයි. එක් ගොනු පද්ධතියක් තුළ නැවත නම් කිරීම නාමාවලි සටහන පමණක් වෙනස් කරයි, වෙන කිසිවක් නොවේ, එය වේගවත් හා පරමාණුක වන අතර, සන්දර්භය ගෙනයාමෙන් පසුවත් රැඳී තිබීමට හේතුවද එයමය. කිසිදු ප්‍රතිපත්තියක් විමසන්නේ නැත, කිසිදු පෙරනිමියක් යෙදෙන්නේ නැත, කිසිදු අනතුරු ඇඟවීමක් මුද්‍රණය නොවේ.

පිටපත් කිරීම වෙනස් ලෙස හැසිරේ. පිටපතක් ගමනාන්ත නාමාවලියේ නව inode එකක් සාදයි, ප්‍රතිපත්තිය එම නාමාවලියේ වර්ගයෙන් සන්දර්භයක් පවරයි, එබැවින් පිටපත් කළ සහතිකය සාමාන්‍යයෙන් නිවැරදි ලේබලය ලබා ගනී, ගෙනගිය එක වැරදි ලෙසම රැඳේ. එම එකම වෙනස මෙම වර්ගයේ ටිකට්පත්වල බොහෝ ව්‍යාකූලත්වය පැහැදිලි කරයි.

ගොනු පද්ධති අතර ගෙනයාම පිටපත් අර්ථයට ආපසු යයි, එබැවින් එකම විධානය යන්ත්‍ර දෙකක වෙනස් ලෙස හැසිරිය හැක, /etc තමන්ගේම වෙළුමක පිහිටා ඇත්ද යන්න මත රඳා පවතී. මෙවලම විශ්වාස කළ නොහැකි යැයි නිගමනය කිරීමට පෙර එය පරීක්ෂා කරන්න. mount වගුව දෙස එක් බැල්මක් ඔබ කළේ කුමන ආකාරයේ ගෙනයාමක්ද යන්න කියයි.

වත්මන් ලේබලය අපේක්ෂිත ලේබලයට එරෙහිව කියවන්න

කියවීමට පමණක් වන විධාන තුනක් කිසිවක් වෙනස් නොකර ප්‍රශ්නයට පිළිතුරු දෙයි. පළමුවැන්න ගොනුවට දැන් ඇති දේ පෙන්වයි, දෙවැන්න එම නිශ්චිත මාර්ගය සඳහා ප්‍රතිපත්තිය අපේක්ෂා කරන දේ වාර්තා කරයි, තෙවැන්න නාමාවලිය යටතේ ලේබලය වෙනස් වන සෑම ගොනුවක්ම ලැයිස්තුගත කරයි.

ls -lZ /etc/openvpn/client/office-ca.crt
matchpathcon /etc/openvpn/client/office-ca.crt
restorecon -Rn -v /etc/openvpn/client

විශ්වාස කළ යුත්තේ වියළි ධාවනයයි, එය ප්‍රතිපත්තියෙන් බැහැර වන සන්දර්භය ඇති සෑම ගොනුවක්ම නම් කරන අතර පද්ධතිය ස්පර්ශ නොකර තබයි. සහතිකය එම ලැයිස්තුවේ දිස්වන්නේ නම්, මාර්ගය අදහස් කරන දේ සහ ගොනුව ප්‍රකාශ කරන දේ අතර විෂමතාව ඔබ සොයා ගෙන ඇත. එය දිස් නොවන්නේ නම්, ලේබලය දැනටමත් ප්‍රතිපත්තියට අවශ්‍ය දේ වන අතර ඔබේ කාලය වෙනත් තැනකට අයත් වේ.

පසුව වෙනස සැබෑ ප්‍රතික්ෂේපයක් සමඟ සම්බන්ධ කරන්න. නොගැලපීම වැරදි ලේබලයක සාක්ෂියකි, සේවාව ඒ නිසා අසාර්ථක වූ බවට සාක්ෂියක් නොවේ, ලොගයේ අනුරූප ප්‍රතික්ෂේපයක් නොමැතිව යොදන ලද නිවැරදි කිරීම අමතර පියවර සහිත අනුමානයකි.

ව්‍යතිරේකයක් නිර්මාණය කිරීම වෙනුවට සිතියම්කරණය ප්‍රතිස්ථාපනය කරන්න

සම්මත ස්ථානයක් සඳහා ප්‍රතිපත්තිය දැනටමත් මාර්ගය සිතියම් කරයි, එබැවින් restorecon එය යොදයි, කටයුතු අවසන්. ඔබ අලුත්වැඩියා කරන නාමාවලියට විෂය පථය සීමා කරන්න; සමස්ත ගොනු පද්ධතියම නැවත ලේබල් කිරීම මන්දගාමී, බාධාකාරී වන අතර, එය මුල් වැරැද්ද ඉතා විශාල වෙනසක් යටතේ වළලයි.

අභිරුචි නාමාවලියක් සඳහා අනුපිළිවෙල වැදගත් වන අතර, එය ආපසු හැරවීම කිසිවක් වෙනස් නොකර සාර්ථකත්වය වාර්තා කරන විධානයක් නිපදවයි. සිතියම්කරණය ප්‍රතිපත්තියට අයත් වේ, නැවත ලේබල් කිරීම අවසානයට අයත් වේ, වියළි ධාවනය දෙකටම පෙර අයත් වේ. එම අවසාන කොටස මඟ හැරීම කිසිදා වැරදි නොවූ මාර්ගයක් වුවද නැවත ලේබල් වීමේ ක්‍රමයයි.

semanage fcontext -a -t openvpn_etc_t '/etc/openvpn/custom(/.*)?'
restorecon -Rv /etc/openvpn/custom

restorecon සිතියම්කරණයක් යොදයි; එය එකක් නිර්මාණය කළ නොහැක. කිසිදු නියමයක් මාර්ගය විස්තර නොකරන්නේ නම්, ප්‍රතිස්ථාපනය කිරීමට කිසිවක් නැත, එබැවින් නැවත ලේබල් කිරීමට පෙර ස්ථිර සිතියම්කරණය පැවතිය යුතුය. කුමන වින්‍යාසය එම සිතියම්කරණයට හිමිකම් කියනවාද සටහන් කරන්න, නැතහොත් පසුව සිදුවන ගෙනයාමක්, පැකේජ යාවත්කාලීනයක් හෝ නැවත ලේබල් කිරීමක් දෝෂය නැවත නිර්මාණය කරන අතර ඊළඟ පුද්ගලයා බිංදුවේ සිට ආරම්භ කරයි.

chcon විසඳුම නොවන්නේ ඇයි

chcon සන්දර්භයක් කෙළින්ම ගොනුව මත ලියයි. එය ක්ෂණිකව ක්‍රියාත්මක වන අතර ලබා ගත හැකි වඩාත්ම අඩු කල්පවත්නා විකල්පය වේ, මන්ද ගොනු පද්ධතිය නැවත ලේබල් කිරීම ප්‍රතිපත්තිය නැවත යොදන අතර නොඅසා අත්පොත වෙනස්කම් ඉවත දමයි. ගොනුව අලුත්වැඩියා කළ ලෙස පෙනෙන අතර අලුත්වැඩියාවට කිසිවෙකු නොලියූ කල් ඉකුත්වීමේ දිනයක් ඇත. ඒ වෙනුවට ඔබට අවශ්‍ය මාර්ගය විස්තර කරන නියමයකි, එවිට එහි පැමිණෙන සෑම ගොනුවක්ම ස්වයංක්‍රීයව එම ආකලනයම ලබා ගනී.

වඩාත් නරක ලෙස, එය වැරදි පාඩමක් උගන්වයි: පදනම් සිතියම්කරණය තවමත් නොමැත, එබැවින් දෝෂය සති ගණනකට පසු පැහැදිලි අවුලුවන්නෙකු නොමැතිව සහ එම වටහා ගැනීම පිළිබඳ මතකයක් නොමැතිව ආපසු පැමිණේ. chcon උපකල්පනයක් තහවුරු කිරීම සඳහා තාවකාලික පරීක්ෂණයක් ලෙස පමණක් භාවිත කරන්න, පසුව එය ඊළඟ නැවත ලේබල් කිරීමට ඔරොත්තු දෙන සිතියම්කරණයකින් ප්‍රතිස්ථාපනය කරන්න, ප්‍රතිස්ථාපනය සැබවින්ම ස්ථානයේ ඇත්දැයි පරීක්ෂා කරන්න.

ලේබලය නිවැරදි වන විටත් ප්‍රවේශය තවමත් අසාර්ථක වන විට

මව් නාමාවලිවලින් ආරම්භ කරන්න. මාර්ගයේ සෑම අංගයකම තරණ අවසරය පරීක්ෂා කෙරේ, එබැවින් සේවාවට ඇතුළු විය නොහැකි නාමාවලියක ඇති නිවැරදිව ලේබල් කළ සහතිකයක් තවමත් කියවිය නොහැක. SELinux සහ සාමාන්‍ය අවසරය දෙකම සෑම පියවරකටම ඉඩ දිය යුතු අතර, එකක් අලුත්වැඩියා කිරීම අනෙක අලුත්වැඩියා නොකරයි.

පසුව ක්‍රියාවලි අනන්‍යතාවය සහ සේවාවේම වැලිපෙට්ටිය පරීක්ෂා කරන්න. සීමාකාරී වැලිපෙට්ටියක් සහිත ඒකකයක් ප්‍රතිපත්තිය සතුටින් ඉඩ දෙන ගොනුවකට ප්‍රවේශය ප්‍රතික්ෂේප කළ හැක, ලොග් පේළියෙන් දෙකම හේතු සමාන ලෙස පෙනේ. සැබවින්ම ඉල්ලා සිටින්නේ කුමන ක්‍රියාවලියද යන්න තහවුරු කරන්න, ඔබ ඉල්ලා සිටින යැයි උපකල්පනය කරන එක නොවේ.

dontaudit නියමයන් ප්‍රතික්ෂේප පණිවිඩ මර්දනය කළ හැකි බව මතක තබා ගන්න, එබැවින් හිස් විගණන ලොගය සාක්ෂියක් නොව, දුර්වල සාක්ෂියකි. ප්‍රතිපත්තිය නිවැරදි ලෙස පෙනෙන නමුත් ප්‍රවේශය තවමත් අසාර්ථක වන්නේ නම්, පුළුල් අවසර මොඩියුලයක් නිර්මාණය කිරීමට පෙර විමර්ශනය කරන්න, රෝග ලක්ෂණය අතුරුදහන් කිරීමට SELinux අබල නොකරන්න. කෙටි මාර්ග දෙකම ක්‍රියා කරන බව පෙනෙන පද්ධතියක් සහ කිසිවෙකුට විස්තර කළ නොහැකි ආරක්ෂක ඉරියව්වක් ලබා දෙයි. කෙටි විමර්ශනයක් දෙකටම වඩා හොඳය.