Да ли би корисничка сесија требало да поседује SSHFS монтирање преко VPN-а?

Монтирање дељене фасцикле након подизања VPN-а укључује два идентитета која је лако помешати: компоненту којој је дозвољено да конфигурише мрежу и налог коме је дозвољено да се пријави на сервер датотека. Ретко су исти. Root VPN кука је лоше место за почетак SSHFS монтирања корисника радне површине, јер нема ни агента корисника ни предвиђено власништво монтирања. Ако се власништво прво исправно постави, окидач постаје једноставан.

Два идентитета, две одвојене дозволе

VPN клијенту су потребне привилегије за промену рута и интерфејса. SSHFS монтирању је потребан SSH идентитет који сервер датотека прихвата и FUSE монтирање у власништву налога који ће читати датотеке. Једна скрипта која ради као root испуњава први услов и тихо крши други.

Монтирање као root оставља датотеке изван сесије радне површине и можда без приступа агенту који чува кључ корисника. Монтирање постоји, корисник не може да пише кроз њега, а отказ изгледа као проблем са дозволама на страни сервера. Та погрешна дијагноза кошта поподне и тикет за тим за складиштење.

Одлучите који налог поседује монтирање пре него што напишете било какву аутоматизацију, јер тај избор одређује где окидач живи и до којих акредитива може да стигне.

Прво ручно успоставите монтирање у власништву корисника

Почните од пријављеног корисника са празном тачком монтирања, овлашћеним SSH налогом и радном путањом до сервера кроз тунел. Ручно монтирање поставља основу коју свака аутоматизација мора да репродукује.

mkdir -p "$HOME/mnt/team"
sshfs [email protected]:/exports/team "$HOME/mnt/team"
mount | grep sshfs

Имена су примери, зато замените хост и извозну путању које ваш сервер заиста нуди. Проверите кључ хоста кроз одобрени процес при тој првој вези. Имајте на уму да лозинка VPN налога није аутоматски акредитив налога за складиштење и то је чест узрок неуспешних покушаја.

Покрените га као обичан корисник са тачком монтирања коју тај корисник поседује. Подразумевано само налог који монтира стиже до датотека, а allow_other проширује ту границу на сваког локалног корисника. То је намерно проширење приступа, а не заобилазно решење за аутоматизацију.

Нека окидач делује у истом контексту сесије

Нека подржана интеграција VPN догађаја затражи извршење радње корисничке сесије, уместо да се претпостави да привилеговани callback може да позајми десктоп акредитив. Ограничите окидач на предвиђени идентификатор везе, а не на било који интерфејс који се случајно зове tun0. Правило диспечера које се поклапа са погрешном ствари активира се при свакој промени мреже, укључујући оне које немају никакве везе са овим монтирањем.

Радња треба да потврди очекивано име хоста, примети постојеће монтирање и направи један ограничен покушај. Петља анкетирања која сваких неколико секунди покреће нови SSHFS процес или понавља захтев за акредитиве док је сервер недоступан претвара кратак прекид у гомилу заглављених процеса. Ограничите покушај тајмаутом и једним поновним покушајем.

nmcli -g UUID connection show --active
systemctl --user list-units 'sshfs*'
pgrep -a sshfs

Прва команда даје идентификатор везе са којим диспечер треба да се поклопи. Друге две показују да ли покушај већ траје, и то је провера која спречава дупликате.

Услуга без надзора захтева сопствене одобрене акредитиве и сопствену проверу хоста у сопственом контексту извршавања. Она не може да претпостави да је графички агент откључан и не треба да покушава да откључа један.

Испланирајте искључивање пре него што присилите чишћење

За планирано искључивање, завршите операције са датотекама и демонтирајте из сопственог радног тока корисника који монтира. Циљајте тачку монтирања, а не процес, и потврдите резултат пре него што пријавите успех.

fusermount3 -u "$HOME/mnt/team"
mountpoint "$HOME/mnt/team"

Демонтирајте само монтирање које је створио овај радни ток. Ако је заузето, то је одлука апликације: присилно одвајање које постоји да би кука вратила успех скрива губитак података уместо да га спречи.

Неочекивани губитак се понаша другачије. SSHFS документује да прекид мреже може да блокира операцију фајл система, а опција reconnect враћа транспорт без враћања ручки: датотека отворена пре поновног повезивања може да не успе при следећем упису, а прекинути упис се не чува. Та разлика је најважнија за уређиваче који држе једну датотеку отворену сатима. Испланирајте корак поновног отварања уместо да претпоставите опоравак.

Тестирајте понашање са једнократним датотекама пре него што се на њега ослоните. Фасцикла која се поново појави након повратка тунела не доказује да су раније ручке или несачувани рад преживели.