Unapaswa kuacha chroot au kunakili iproute2 ndani ya gereza?
Gereza lisilokamilika hushindwa baada ya kuanza, si wakati wa boot. Chagua kati ya kulegeza uimarishaji na kunakili binaries pamoja na maktaba kwenye mzizi mpya.
Huduma huanza, mteja huunganisha, na hakuna njia inayoonekana upande wa seva. Au daemon hukataa kuanza na kutaja amri ambayo haikuweza kuitekeleza. Matokeo yote mawili hufuata mistari hiyo hiyo mitatu, ambayo kwa kawaida hunakiliwa pamoja kutoka kwa mwongozo wa uimarishaji: kuhamia akaunti isiyo na upendeleo, kuacha kikundi, na kubadilisha mzizi wa mfumo wa faili. Ni moja tu kati ya tatu inayoficha faili, na ni moja tu kati yao inayoondoa haki ya kubadilisha jedwali la uelekezaji. Kuwatenganisha ndiyo njia ya kujifunza ni mstari gani unaoutaka kwa kweli.
Gereza huondoa nini ambacho daemon bado inahitaji
Mabadiliko ya mzizi hufanyika baada ya kuanza, hivyo daemon huhifadhi kila kitu ambacho tayari imefungua na hupoteza kila kitu ambacho kingefungua baadaye. Msaidizi yeyote ambaye muunganisho huendesha baada ya hatua hiyo lazima uwepo ndani ya mzizi mpya, pamoja na maktaba za pamoja ambazo hupakia. Gereza lililojengwa kutoka faili ya usanidi na cheti halina chochote kati ya hivyo viwili.
Kuhamia akaunti isiyo na upendeleo ni kizuizi tofauti. Mchakato ambao umeacha root unaweza kushindwa kubadilisha njia au kuinua kiolesura hata wakati binary iko pale pale, hivyo hitilafu hizo mbili lazima zigunduliwe kwa tofauti.
Masharti matatu huamua ni marekebisho gani unayohitaji
Sharti la kwanza ni jinsi build yako inavyoweka njia. Matoleo OpenVPN ya hivi karibuni husanidi kiolesura na jedwali la uelekezaji ndani ya mchakato, wakati vifurushi vya zamani na usanidi maalum hutegemea zana za nje au script za up na down. Ikiwa kumbukumbu inataja amri, kuna zana ya nje inayohusika na gereza linaificha. Ikiwa kumbukumbu inaonyesha kosa la ruhusa badala yake, akaunti ndiyo tatizo.
La pili ni matengenezo. Gereza lenye binaries zilizonakiliwa lazima lisasishwe kila kifurushi kinachozitoa kinapoboreshwa, vinginevyo uboreshaji wa kwanza huacha handaki lililovunjika nyuma. La tatu ni kama udhibiti fulani unahitaji chroot kweli; ikiwa hitaji ni kuhusu utengano wa upendeleo, mabadiliko ya akaunti peke yake yanaweza kutosha.
| Signal in the log | Other side of the boundary | Repair direction |
|---|---|---|
| Command not found after startup | Binary and its libraries absent inside the new root | Populate the jail, or drop the chroot line |
| Operation not permitted | Account lost the privilege to edit routes | Keep the account privileged, or pre-create routes elsewhere |
| No such device | Jail lacks the tun device node | Create the node inside, or open it before the root change |
Gereza linalofanya kazi lazima liwe na nini
Gereza linaloendesha amri linahitaji binary, kila maktaba inayounganishwa nayo, na nodi yoyote ya kifaa ambayo daemon hufungua kwa kuchelewa. Nakili vipande na uvijaribu bila VPN kwenye picha:
ldd /usr/sbin/ip
chroot /etc/openvpn/jail /sbin/ip route show
chroot /etc/openvpn/jail /sbin/ip link set tun0 upAmri ya kwanza huorodhesha vitegemezi, na ndiyo ambayo watu huiruka. Binary iliyonakiliwa isiyopata maktaba hushindwa kwa ujumbe tofauti na binary inayokosekana, na zote mbili zinaonekana kama hitilafu ya OpenVPN zikisomwa kutoka upande wa mteja. Kuendesha amri kwa mkono ndani ya gereza huiga hitilafu bila kuanzisha upya huduma.
Nakili pia usanidi, vyeti na CRL yoyote ndani ya gereza, kwa sababu faili ambayo daemon inatarajia kuisoma tena baada ya kuanza haitapatikana baada ya mzizi kubadilika. Andika ulichonakili, kwa sababu uboreshaji ujao wa kifurushi cha mtandao hubadilisha asili na kuacha gereza kwenye nakala ya zamani.
Punguza uimarishaji badala yake
Ikiwa gereza lipo kwa sababu tu mwongozo ulisema hivyo, kuondoa mstari huo mmoja wakati ukihifadhi vizuizi vya akaunti ni matokeo yanayoweza kutetewa. Daemon huhifadhi mtazamo wake wa mfumo wa faili na hupoteza tatizo, na upunguzaji wa upendeleo bado huondoa root kutoka kwa mchakato wa muda mrefu.
Andika kilichobaki, na kwa nini. Usanidi ambao umepoteza udhibiti kimya kimya bila kidokezo ndiyo njia ambayo uimarishaji huteleza, na ukaguzi ujao utauliza kwa nini mstari ulitoweka.
Gawanya mistari mitatu kabla ya kuchagua
Nakili usanidi, zima maagizo yote matatu na uthibitisha kuwa mteja anaunganisha na njia zinazotarajiwa zinaonekana. Kisha washa upya mistari ya akaunti pekee, na kisha chroot peke yake. Hatua ambapo handaki huvunjika huonyesha mpaka, na unaepuka kujenga upya gereza ambalo halikuwa sababu kamwe.
Linapoelekeza tena, endesha kipindi kimoja cha mteja kwa ukweli wa hali ya juu zaidi na soma mstari unaotaja amri au ruhusa iliyoshindwa. Mstari huo una thamani zaidi kuliko muda wa kusubiri ambao mteja huripoti mwishoni.