Soketi ya usimamizi ya OpenVPN: kituo cha udhibiti, si vipimo

Uliza kiolesura cha usimamizi hali mara moja na huanza kuonekana kama bandari ya hali. Lakini si hivyo. Mteja akiisha kubaliwa anaweza kutoa amri za udhibiti za itifaki, na akaunti inayomwendesha mteja huyo hurithi kila kitu ambacho amri hizo zinaweza kumfanyia daemon. Kuichukulia kama mtiririko wa kusoma tu ni kosa linalobadilisha muunganisho wa ufuatiliaji kuwa konsoli isiyo na uthibitisho.

Imani, na gharama yake

Imani ni kwamba msikilizaji wa usimamizi ni sawa na kituo cha mwisho cha vipimo: unganisha mkusanyaji, soma vihesabu, endelea. Kinachotokea kwa kweli ni kwamba mkusanyaji hufungua kipindi chenye uwezo wa udhibiti, na kila dhana nyingine uliyoifanya kuhusu usambazaji sasa inategemea mkusanyaji huyo kuwa na tabia nzuri.

Hakuna kitu kwenye kiolesura kinachotangaza hali ya kusoma tu. Hakuna jukumu la mwangalizi la kuchagua, na jina la mtumiaji kwenye usanidi haliunda moja.

Kile mteja aliyekubaliwa anachoshikilia kwa kweli

Daemon ya jamii inakubali mteja mmoja tu wa usimamizi anayefanya kazi kwa wakati mmoja. Nafasi hiyo moja inamaanisha GUI, script na wakala wa ufuatiliaji hawawezi kuunganisha wote; wa pili husubiri au hushindwa wakati wa kwanza anashikilia kipindi. Ikiwa muundo wako unadhania wasomaji wa wakati mmoja, tayari ni makosa.

Mahali picha ya mara kwa mara inatosha, matokeo ya faili ya hali hukupa nambari zilezile bila kipindi cha moja kwa moja. Kuandika faili hiyo kwa vipindi na kuisoma kwa ruhusa za kawaida za faili huweka mkusanyaji nje kabisa ya tabaka la udhibiti, na huo ndio mpangilio ambao ufuatiliaji mwingi unahitaji kwa kweli.

Soketi yetu wenyewe, si iliyo wazi

Soketi ya kikoa cha Unix huweka njia ya udhibiti nje ya mtandao, jambo ambalo huondoa anwani ya handaki inayobadilika kwenye tatizo. Haiondoi suala la ruhusa. Saraka ya mzazi lazima iweze kuandikwa na akaunti ya huduma na kufikiwa na akaunti ya kidhibiti, na hizo ni ruhusa mbili tofauti:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Faili ya nenosiri hubeba siri ya usimamizi kwenye mstari wake wa kwanza. Linda faili hiyo kama kitambulisho kingine chochote, na uweke maudhui yake nje ya kumbukumbu na tiketi za msaada. Vizuizi vya mtumiaji na kikundi ni ukaguzi wa mwenzake kwenye soketi ya Unix, si ruhusa za mfumo wa faili, kwa hivyo mchakato unaokusudiwa unahitaji ufikiaji wa faili na utambulisho unaolingana.

Kufanya soketi ifikiwe na ulimwengu wote ili kuondoa kosa la ruhusa ndio marekebisho pekee ya kuepuka. Hubadilisha kituo cha udhibiti cha ndani kuwa kitu ambacho mchakato wowote kwenye mwenyeji anaweza kuendesha.

Kuitangaza kupitia TCP si muundo huo huo

Kuhamisha msikilizaji kwenda bandari ya TCP hakufanyi iwe salama zaidi au rahisi zaidi. Nenosiri la usimamizi hutumwa kwa maandishi wazi, kwa hivyo msikilizaji wa TCP hufichua kitambulisho na kipindi kwa yeyote anayeweza kuangalia njia. Kuifikia kutoka mwenyeji mwingine kunahitaji kituo cha utawala kilichoidhinishwa, au wakala mdogo wa ndani anayefichua tu uchunguzi unaohitajika.

Nenosiri juu ya usafirishaji wa maandishi wazi ni uthibitisho bila usiri, na mchanganyiko huo ni mbaya zaidi kuliko unavyoonekana kwa sababu unahisi umelindwa.

Utegemezi wa uanzishaji ambao hukuomba

Chaguo kadhaa za usimamizi hubadilisha mzunguko wa maisha wa daemon. Kushikilia uanzishaji hadi kidhibiti kiunganishe, au kukomesha kidhibiti kinapotoweka, hubadilisha mwangalizi wa hiari kuwa utegemezi mgumu. Wakala wa ufuatiliaji anayeanguka basi angeiangusha handaki pamoja naye.

Pitia chaguo hizo kabla ya kuwezesha kitu chochote zaidi ya soketi yenyewe. Uangalizi wa hiari unapaswa kubaki wa hiari, na sera ya kuwasha upya haipaswi kuunganishwa na mkusanyaji ulioongezwa kwa ajili ya grafu.

Faili ya soketi iliyoachwa baada ya mchakato kushindwa si uthibitisho kwamba msikilizaji yupo. Tambua ni kielelezo kipi kinamiliki njia kabla ya kuiondoa, na tumia mtiririko wa urejeshaji wa huduma yenyewe badala ya kufuta faili chini ya daemon inayofanya kazi.

Ukubalifu unaonekanaje

Ukaguzi nne hufunika muundo: utambulisho unaokusudiwa wa kidhibiti huunganisha, mchakato usio na utambulisho huo hukataliwa, daemon hunusurika kidhibiti kinachotenganisha bila tahadhari, na handaki bado hubeba trafiki kupitia uanzishaji upya uliodhibitiwa. Muunganisho wa usimamizi uliofanikiwa huthibitisha tabaka la udhibiti pekee. Hausemi chochote kuhusu ikiwa trafiki ya programu za kibinafsi inafanya kazi, kwa hivyo ijaribu kando. Andika matokeo manne mahali ambapo mendeshaji anayefuata anaweza kuyapata.

Nyaraka za kiolesura cha usimamizi zinaeleza mfano wa mteja mmoja na asili ya upendeleo ya itifaki, na hiyo ndiyo sehemu inayostahili kusomwa kabla ya kuelekeza dashibodi kwake.