ifconfig-noexec nuk e shpëton sesionin tënd SSH: çfarë bën në të vërtetë
Ai shtyp konfigurimin e adresës së ndërfaqes nga vetë OpenVPN. Nuk rezervon një rrugë përgjigjeje për SSH, nuk fik të gjitha ndryshimet e rrugëve dhe nuk e siguron adresën që mungon.
Në një temë forumi, ifconfig-noexec ofrohet si rregullimi që mban gjallë një sesion SSH kur ngrihet një tunel. Arsyetimi tingëllon i besueshëm derisa të shohësh çfarë prek në të vërtetë opsioni. Ai e pengon OpenVPN të konfigurojë adresën e ndërfaqes së tunelit dhe ato vlera ua kalon skripteve; për atë se ku shkojnë përgjigjet e lidhjes tënde të menaxhimit, nuk thotë asgjë. Të besosh të kundërtën prodhon një tunel pa adresë të përdorshme dhe një sesion SSH që vdes gjithsesi.
Çfarë delegon në të vërtetë opsioni
Si parazgjedhje, klienti ngre pajisjen e tunelit dhe cakton adresat lokale e të largët që i dha serveri. Me ifconfig-noexec të vendosur, ai hap kapërcehet dhe vlerat e negociuara eksportohen në mjedisin e skripteve që diçka tjetër t'i zbatojë.
Pronësia zhvendoset. Në vend të saj nuk shpiket asgjë.
Pra pyetja së cilës i përgjigjet opsioni është kush e konfiguron ndërfaqen, dhe pyetja së cilës nuk i përgjigjet është si paketat gjejnë rrugën e kthimit te ti. Mbaji të dyja të ndara, përndryshe do të kalosh një mbrëmje të tërë duke redaktuar rrugë për të kompensuar një ndërfaqe pa adresë.
Tri opsione të ngjashme me punë të ndryshme
Kjo familje është e lehtë për t'u ngatërruar sepse emrat ndryshojnë me një fjalë dhe simptomat mbivendosen. Lexo çfarë shtyp secili para se të zgjedhësh ndonjë.
| Option | What stops happening |
|---|---|
ifconfig-noexec | OpenVPN's own tunnel-address configuration; values go to scripts instead |
route-noexec | Automatic route addition and removal; route details go to a script |
route-nopull | Server-pushed routes and related options such as DNS are rejected |
Këto janë alternativa për t'u kuptuar veçmas, jo një grup për t'u ngjitur bashkë. Shtypja e konfigurimit të adresës nuk shtyp ndryshimet e rrugëve, rregullat e murit të zjarrit apo opsionet e shtyra që mbajnë DNS. Një skript i deleguar është gjithashtu i lirë të ndryshojë rrugë, dhe ky është një vendim që po e dorëzon në vend që ta shmangësh.
Nëse një klient i furnizuesit e mbështjell motorin, përdor integrimin e tij të mbështetur në vend që të hedhësh një direktivë të nivelit të ulët në një profil dhe të shpresosh se mbështjellësi do ta respektojë. Mbështjellësit shpesh e rigjenerojnë profilin gjatë lidhjes, kështu që një ndryshim manual zhduket pa gabim. Kontrollo ku e mban klienti konfigurimin e vet para se të kalosh një mbrëmje mbi skedarin. Kjo vlen për çdo rresht të tabelës, jo vetëm për atë për të cilin erdhe.
Sesioni SSH që doje të mbronje
Një lidhje SSH ka adresë burimi, adresë destinacioni dhe rrugë përgjigjeje. Në një server që sapo ka instaluar parazgjedhjen e tunelit të plotë, përgjigja ndaj adresës tënde publike përputhet me tunelin dhe porta VPN e hedh poshtë.
Asgjë në konfigurimin e adresave të ndërfaqes së tunelit nuk e ndryshon këtë.
Atë e rregullon një rrugë më specifike për adresën e menaxhimit përmes portës para tunelit, ose një rregull politike që e drejton atë trafik, plus cilësimet e filtrit që zbaton hosti yt. Të dy problemet ndonjëherë shfaqen bashkë, dhe kështu njëri merret si ilaçi i tjetrit. Testoji veçmas: ngri tunelin pa opsionin, shiko adresën e ndërfaqes dhe rrugën e përgjigjes, pastaj vendos cila nga të dyja është vërtet e prishur.
Çfarë duhet të marrë përsipër një skript i deleguar
Nëse vërtet do që një pronar tjetër ta konfigurojë ndërfaqen, numëro punën: zbato adresën lokale dhe atë të largët, ngri pajisjen, rikthe ose hiq adresimin në çmontim dhe bëj të njëjtën gjë përsëri pas një rilidhjeje. Vlerat e një sesioni të suksesshëm nuk duhet të kodohen fort, sepse serveri mund të japë një çift tjetër herën tjetër.
Variablat e mjedisit që eksporton klienti janë inputi i vetëm i mbështetur për atë punë.
env | grep -E '^ifconfig_|^route_'Brenda një skripti route-up ato variabla janë në dispozicion; nga një punë cron ose një shell manual nuk janë. Konfirmo cilin hook të ciklit të jetës përdor versioni yt dhe konfirmo që hook-u xitet me privilegje të mjaftueshme për të ndryshuar ndërfaqen, sepse klienti mund të jetë tashmë zbritur në një përdorues pa privilegje.
Testo të gjithë ciklin e jetës, jo një sesion
Ngri tunelin, kontrollo adresën në pajisje, pastaj rilidhu dhe kontrollo përsëri. Një konfigurim që funksionon një herë dhe dështon në provën e dytë zakonisht do të thotë që hapi i deleguar xitet vetëm në lidhjen e parë.
Pastaj testoji të dy kriteret e pranimit bashkë: një lidhje e re SSH përmes rrugës së synuar të menaxhimit funksionon, dhe një aplikacion i lejuar e përdor tunelin saktë.
Një sesion i vjetër SSH që mbijeton rastësisht ndërsa tuneli nuk ka adresë nuk është sukses, dhe pikërisht ky është gjendja që prodhon ky opsion kur askush nuk e merr punën përsipër. Kontrollo fillimisht adresën e ndërfaqes, pastaj rrugën e përgjigjes së menaxhimit, pastaj aplikacionin. Nëse dy nga tre janë gabim, opsioni e zhvendosi punën pa i dhënë një pronar.