Ma ka tagtaa chroot mise waxaad iproute2 ku koobiyaa xabsi?
Xabsi aan dhamaystirnayn wuu guuldareystaa ka dib bilowga, ma aha waqtiga boot. Dooro inta u dhaxaysa dabacsanaanta adkaynta iyo koobista binary-yada iyo maktabadaha xididka cusub.
Adeeggu wuu bilaabmaa, macmiil wuu isku xidhaa, oo mar dambe wax waddo ah kama muuqato dhinaca server-ka. Ama daemon-ku wuu diidaa inuu bilaabo oo wuxuu sheegaa amar uusan fulin karin. Labada natiijo waxay raacaan isla saddexda xariiq, oo badanaa lala koobiyaa hagaha adkaynta: u gudub xisaab aan mudnaan lahayn, ka tag kooxda, oo beddel xididka nidaamka faylka. Kaliya mid ka mid ah saddexda ayaa qariya faylasha, oo kaliya mid ka mid ah ayaa qaada xaqa beddelka shaxda waddooyinka. Kala soociddooda ayaa ah habka aad ku barato xariiqda aad runtii rabto.
Waxa xabsigu qaado ee daemon-ku weli u baahan yahay
Beddelka xididku wuxuu dhacaa ka dib bilowga, sidaas darteed daemon-ku wuxuu hayaa wax kasta oo uu hore u furay oo lumiyaa wax kasta oo uu hadhow furi lahaa. Caawiyaha kasta oo xidhiidhku maamulo ka dib bartaas waa inuu ku jiraa xididka cusub, oo ay la socdaan maktabadaha la wadaago ee uu soo rarto. Xabsi laga dhisay fayl habayn iyo shahaado ma laha midkoodna.
U gudubka xisaab aan mudnaan lahayn waa xaddidaad gooni ah. Habka ka taga root waxaa laga yaabaa inuusan beddeli karin waddooyinka ama kor u qaadi karin interface xitaa marka binary-ga isla halkaas yaal, sidaas darteed labada cilad waa in si gooni ah loo baaro.
Sadex shuruud ayaa go'aaminaya dayactirka aad u baahan tahay
Shuruudda koowaad waa sida build-kaagu u rakibo waddooyinka. Noocyada OpenVPN cusub waxay habeeyaan interface-ka iyo shaxda waddooyinka gudaha habka, halka xirmooyinka hore iyo habaynta gaarka ah ay ku tiirsan yihiin qalab dibadda ah ama script-yada up iyo down. Haddii log-ku magacaabo amar, qalab dibadda ah ayaa ku lug leh oo xabsigu wuu qarinayaa. Haddii log-ku beddelkeeda muujiyo qalad fasax, xisaabta ayaa dhibaatada ah.
Tan labaad waa dayactirka. Xabsi leh binary-yo la koobiyeeyay waa in la cusboonaysiiyaa mar kasta oo xirmada bixisa la casriyeeyo, haddii kale casriyaynta koowaad waxay ka tagtaa tunnel jabay. Tan saddexaad waa haddii kontorool gaar ah uu runtii u baahan yahay chroot; haddii shuruuddu tahay mid ku saabsan kala-soocidda mudnaanta, beddelka xisaabta keligiis wuu ku filnaan karaa.
| Signal in the log | Other side of the boundary | Repair direction |
|---|---|---|
| Command not found after startup | Binary and its libraries absent inside the new root | Populate the jail, or drop the chroot line |
| Operation not permitted | Account lost the privilege to edit routes | Keep the account privileged, or pre-create routes elsewhere |
| No such device | Jail lacks the tun device node | Create the node inside, or open it before the root change |
Waxa xabsi shaqeeya ay tahay inuu ka koobnaado
Xabsi maamula amarrada wuxuu u baahan yahay binary-ga, maktabad kasta oo uu ku xidhmo, iyo node kasta oo qalab ah oo daemon-ku goor dambe furo. Koobi qaybaha oo tijaabi iyaga oo aan VPN ku jirin sawirka:
ldd /usr/sbin/ip
chroot /etc/openvpn/jail /sbin/ip route show
chroot /etc/openvpn/jail /sbin/ip link set tun0 upAmarka koowaad wuxuu taxaa ku-tiirsanaanta, waana tan dadku dhaafi jiraan. Binary la koobiyeeyay oo aan helin maktabad wuxuu ku guuldareystaa fariin ka duwan binary maqan, labaduna waxay u eg yihiin cilad OpenVPN marka laga akhriyo dhinaca macmiilka. Amarka gacanta ku fulinta xabsiga gudihiisa waxay dib u soo saartaa ciladda iyada oo aan adeegga dib loo bilaabin.
Koobi sidoo kale habaynta, shahaadooyinka iyo CRL kasta xabsiga gudihiisa, maxaa yeelay faylka daemon-ku filan yahay inuu mar kale akhriyo ka dib bilowga lama heli doono marka xididku beddelmo. Qor waxa aad koobiyeysay, sababtoo ah casriyaynta xirmada shabakadda ee xigta waxay beddelaa asalka oo xabsiga kaga tagtaa nuqulkii hore.
Beddelkeeda yaree adkaynta
Haddii xabsigu u jiro kaliya sababtoo ah hagaha ayaa sidaa yiri, ka saarista xariiqdaas kaliya inta xaddidaadaha xisaabta la hayo waa natiijo la difaacan karo. Daemon-ku wuxuu hayaa aragtidiisa nidaamka faylka oo wuu lumiyaa dhibaatada, hoos u dhigista mudnaanta ayaa weli root ka saarta habka cimri dheer.
Qor waxa haray, iyo sababta. Habayn si aamusan u lumisay kontorool aan qoraal lahayn waa sida adkayntu u leexato, oo hubinta xigta waxay weydiin doontaa sababta xariiqdu u luntay.
Kala qaybi saddexda xariiq ka hor inta aadan dooran
Koobi habaynta, dami saddexda tilmaamood, oo xaqiiji in macmiilku isku xidho oo waddooyinka la filayo ay muuqdaan. Kadib dib u shid kaliya xariiqaha xisaabta, ka dibna chroot keligiis. Tallaabada tunnel-ku ku jabto ayaa tilmaamaysa xadka, oo waxaad ka fogaataa dib u dhiska xabsi aan waligiis sabab ahayn.
Marka uu mar kale waddo sameeyo, socodsii hal kulan macmiil oo faahfaahin sare leh oo akhri xariiqda magacaabaysa amarka ama fasaxa guuldareystay. Xariiqdaas waxay ka qiimo badan tahay waqtiga dhamaadka ee macmiilku ugu dambayn soo sheego.