SSHFS монтирања припадају кориснику, а не VPN куки

Претпоставку је лако усвојити и тешко приметити: VPN кука за повезивање ради као root, па би и монтирање које покреће требало уредити као root. То закључивање ствара тимски директоријум који корисник радне површине не може да отвори, монтирање које нестане када се услуга окидача поново покрене, и упит за аутентификацију у контексту у коме нико не може да одговори. Кука и монтирање су два различита посла, а само једном од њих требају привилегије.

Мит: мрежне привилегије значе привилегије за монтирање

Подизање интерфејса и аутентификација на серверу датотека су неповезане способности и обично припадају различитим налозима. VPN компоненти треба довољно привилегија да мења руте и интерфејсе. Налогу сервера датотека треба кључ или лозинка, одлука о кључу хоста и матични директоријум за монтирање. Предаја акредитива другог посла првом идентитету је начин на који мрежна услуга заврши чувајући корисников кључ.

На лаптопу са једним корисником то може бити исти налог, а та случајност није дизајн.

Када привилегована кука обави монтирање, три ствари тихо крену по злу. Монтирање је у власништву root-а, корисников агент није присутан у том окружењу, а грешке се појављују у дневнику мрежне услуге, а не у сесији којој је стало. Ништа од тога се не поправља додавањем опција наредби за монтирање. То се поправља давањем посла сесији која поседује идентитет.

Зашто монтирање припада пријављеном кориснику

SSHFS монтирање је FUSE монтирање у власништву процеса који га је створио, а приступ следи то власништво, а не режим родитељског директоријума. Референца препоручује обичног корисника са тачком монтирања коју тај корисник поседује, и управо зато је монтирање које створи root процес незгодно за све остале. Промена дозволе на тачки монтирања то не поправља, јер је препрека сопствени власник монтирања.

Почните од ручне основне линије унутар корисничке сесије: постојећа празна тачка монтирања испод матичног директоријума, овлашћени налог на серверу и кључ хоста који је већ проверен вашим одобреним поступком. Монтирајте га ручно једном и користите га, јер то доказује да идентитетска путања ради пре него што постоји икаква аутоматизација. Забележите шта је наредби требало: назив налога, путању извоза и приватно име хоста. Задржите тај тачан контекст за аутоматизовану верзију, јер је радно ручно монтирање спецификација коју окидач мора да репродукује.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Третирајте сваки назив и путању у том реду као резервисано место, укључујући налог и извоз. Лозинка VPN налога није аутоматски акредитив налога за складиштење.

Шта окидач треба да затражи од сесије

Подржани распоред је захтев од мрежног догађаја до корисничке сесије, а не позајмљени акредитив. Ограничите окидач на везу коју мислите, по имену или UUID-у, а не на било који интерфејс који се случајно зове tun0. Та једна промена спречава други профил, пробни тунел или колегину сесију за отклањање грешака да започне монтирање.

Радња на страни сесије треба да потражи предвиђено постојеће монтирање, а затим да направи један ограничен покушај.

Не покушавајте поново при сваком анкетирању и не тражите стално акредитив док је сервер недоступан, јер обоје претварају краткотрајни прекид у закључавање налога. Услуга без надзора је одвојен дизајн са сопственим одобреним акредитивима и сопственим распоредом провере хоста у сопственом контексту извршавања, и не може се ослањати на то да је неко откључао графички агент. Одлучите које од два градите пре него што одаберете где код живи. Већина забуне овде долази од тога да се гради једно, а очекује друго.

Прекид везе је догађај датотечног система, а не догађај куке

Планирани прекид треба да доврши датотечне операције и одмонтира из сесије корисника који монтира подржаном наредбом за ту врсту датотечног система. Присилно одвајање да би се кука брзо вратила начин је на који апликације губе радни директоријум, а корисници поверење у аутоматизацију. Заузето монтирање треба одлуку на нивоу апликације, попут затварања датотеке или заустављања уписа, а не јачи сигнал. Излазни статус куке није ствар која се оптимизује.

fusermount3 -u "$HOME/mnt/team"

Неочекивани губитак је други случај, а SSHFS документује да прекинута операција може да блокира док се транспорт поново повезује.

Опција поновног повезивања обнавља транспорт, а датотеке отворене пре тог поновног повезивања још увек могу да враћају грешке и треба их поново отворити. VPN који се врати не доказује ништа о ранијим ручкама или несачуваном раду. Одаберите понашање које желите при прекиду — паузирање, приказ грешке или намерно поновно монтирање — и тестирајте га са датотекама за једнократну употребу пре него што ишта зависи од тога.