OpenVPN push-peer-info: அணுகல் வழங்காமல் வாடிக்கையாளர்களை லேபிள் செய்யுங்கள்

வரிசைப்படுத்தல் குறிச்சொற்கள் இந்த அம்சத்தை நோக்கி மக்கள் திரும்புவதற்கான வழக்கமான காரணம்: ஒவ்வொரு இணைப்பும் தளம் அல்லது பங்கு போன்ற ஒன்றை எடுத்துச் செல்ல வேண்டும், சேவையகம் இரண்டாவது அடையாளச் சான்று வடிவத்தைக் கண்டுபிடிக்காமல் அதைப் படிக்க வேண்டும். சமூக OpenVPN இந்த வழிமுறையை ஏற்கனவே கொண்டுள்ளது, அது சிறியது. வலிக்கும் பகுதி எதிர்பார்ப்புகள். வாடிக்கையாளர் சுயவிவரத்தில் சாதாரண மாறியை அமைப்பது சேவையகத்தில் எதையும் செய்யாது, வரும் மதிப்பு வாடிக்கையாளர் அதை அனுப்பியதை மட்டுமே நிரூபிக்கிறது.

இது செயல்படும் பாதைக்கும், உண்மையில் என்ன வந்தது என்பதைக் காட்டும் சரிபார்ப்பு படிக்கும், பாதியாக உள்ளமைக்கப்பட்ட கொக்கியை விட்டுச் செல்லாத திரும்பப்பெறுதலுக்கும் ஒரு கையேடு. இங்கு எதுவும் புதிய சான்றிதழ், புதிய செருகுநிரல் அல்லது நெறிமுறை நீட்டிப்பைக் கேட்கவில்லை.

மாறியை அமைத்து பாதையை இயக்குங்கள்

வாடிக்கையாளர் சுயவிவரத்தில் இரண்டு வரிகள் வேலையைச் செய்கின்றன, இரண்டும் தேவை. முதலில் இல்லாமல் அனுப்ப எதுவும் இல்லை; இரண்டாவது இல்லாமல் வாடிக்கையாளர் சக விவரங்களை அறவே வழங்குவதில்லை. வரிசை முக்கியமல்ல, அதைத் தெரிந்துகொள்வது பயனுள்ளது, ஏனெனில் இரண்டு வரிகளும் பெரும்பாலும் உருவாக்கப்பட்ட சுயவிவரத்தின் வெவ்வேறு பகுதிகளில் முடிகின்றன. முக்கியமானது, வாடிக்கையாளர் படிக்கும் முன் சுயவிவரத்தை மீண்டும் எழுதும் எதிலிருந்தும் இரண்டும் தப்பிப் பிழைக்க வேண்டும்.

setenv UV_DEPLOY field-support
push-peer-info

UV_ முன்னொட்டு அலங்காரம் அல்ல. சாதாரண DEPLOY மாறி வாடிக்கையாளர் செயல்பாட்டில் உள்ளூராகவே இருக்கும், ஒருபோதும் அனுப்பப்படாது, முன்னொட்டு வடிவம் என்பது பயனர் வரையறுத்த புலங்களுக்கு நெறிமுறை ஒதுக்கும் பெயர்வெளி. அங்கீகரிக்கப்பட்ட சுயவிவரத்தின் மீதமுள்ள பகுதியை அப்படியே வைத்து, வரிசைப்படுத்தும் முன் நீங்கள் வரிசைப்படுத்தும் வாடிக்கையாளர் கட்டமைப்பு இரண்டு வழிமுறைகளையும் ஆதரிக்கிறதா என்பதை உறுதிப்படுத்துங்கள்.

ஒரு நடைமுறைச் சரிபார்ப்பு இங்கே தான், முடிவில் அல்ல: வழிமுறை வாடிக்கையாளர் பைனரியை அடைவதையும், எந்த உறையும் அதை விழுங்காததையும் உறுதிப்படுத்துங்கள். தனது சொந்த கட்டளை வரியை உருவாக்கும் வரைகலை வாடிக்கையாளர், அல்லது சேமித்த சுயவிவரத்தை மீண்டும் ஏற்றும் நிர்வாக இடைமுகம், அடையாளம் காணாத வரிகளை நீக்கக்கூடும். சேவையகம் எதையும் காணவில்லை என்றால், பார்க்க வேண்டிய முதல் இடம் இதுவே.

சேவையகக் கொக்கியிலிருந்து புலத்தைப் படியுங்கள்

சேவையகப் பக்கத்தில், பெறப்பட்ட சக விவரங்கள் சரிபார்க்கப்பட்டு இணைப்பு பணிப்பாய்வின் சூழலில் செருகப்படுகின்றன, அதுவே உங்கள் பக்கத்திலிருந்து எந்த நெறிமுறை வேலையும் இல்லாமல் கொக்கியிலிருந்து அதைப் படிக்கக்கூடியதாக்குகிறது. சேவையகம் கட்டுப்பாட்டு சேனலை பகுப்பாய்வு செய்யவோ உங்களுக்காக எதையும் சேமிக்கவோ தேவையில்லை; இணைப்பு அமைக்கப்படும் போது மதிப்பு வெறுமனே இருக்கும். அங்கீகரிக்கப்பட்ட பெயருக்கு அடுத்ததாக லேபிளைப் பதிவு செய்யும் குறைந்தபட்ச client-connect ஸ்கிரிப்ட் இப்படித் தெரிகிறது.

#!/bin/sh
# /etc/openvpn/server/hooks/label.sh
printf '%s %s\n' "$common_name" "${UV_DEPLOY:-unset}" \
  >> /var/log/openvpn/deploy-labels.log

பதிவை பகுப்பாய்வு செய்வதற்குப் பதிலாக சூழல் வழியாக மாறியைப் படியுங்கள், எப்போதும் இயல்புநிலை மதிப்பைக் கொடுங்கள். ${UV_DEPLOY:-unset} புலத்தை ஒருபோதும் அனுப்பாத வாடிக்கையாளர்களுக்கும் ஸ்கிரிப்டை இயங்க வைக்கிறது, இது படிப்படியான வரிசைப்படுத்தலின் போது சாதாரண நிலை. பெயரைக் கண்டுபிடிக்க முழு சூழலையும் பதிவில் கொட்ட வேண்டாம்; அதில் லேபிளை விட அதிகம் உள்ளது, நீங்கள் வைத்திருக்க விரும்பாத மதிப்புகள் உட்பட.

ஸ்கிரிப்டை கையால் இயக்குங்கள், அது எல்லாவற்றுக்கும் unset எனத் தெரிவிக்கும், ஏனெனில் கைமுறை ஷெல் இணைப்பின் சூழலைச் சுமக்காது. இது ஸ்கிரிப்டின் பிழை அல்ல, புலம் இல்லை என்பதற்கான ஆதாரமும் அல்ல. மாறி இருக்கும் ஒரே சூழலான உண்மையான இணைப்பின் மூலம் அதைச் சோதியுங்கள்.

உண்மையில் என்ன வந்தது என்பதைச் சரிபாருங்கள்

லேபிளுடன் ஒரு வாடிக்கையாளரையும், அது இல்லாமல் மற்றொன்றையும் இணைத்து, பின்னர் கோப்பைப் படியுங்கள். இணைப்பே சோதனை: ஒரு வரி மதிப்பைச் சுமக்க வேண்டும், மற்றொன்று இயல்புநிலையை, இரண்டும் நீங்கள் எதிர்பார்க்கும் அதே அங்கீகரிக்கப்பட்ட அடையாளத்தைக் குறிப்பிட வேண்டும்.

tail -n 5 /var/log/openvpn/deploy-labels.log
# field-support deployed-client-07
# unset         legacy-laptop-02

அந்த கருத்து வரிகள் வெளியீட்டின் வடிவம், உங்கள் சேவையகத்தின் நகல் அல்ல; உங்கள் சொந்தக் கோப்பைப் படியுங்கள். இரண்டாவது வாடிக்கையாளரும் மதிப்பைக் காட்டினால், மாறி சூழலில் வேறெங்கோ அமைக்கப்பட்டுள்ளது, நீங்கள் சக புலத்திற்குப் பதிலாக பழைய அமைப்பைப் படிக்கிறீர்கள்.

இணைப்பிற்கான சேவையகப் பதிவையும் சரிபாருங்கள். சக விவரங்கள் அங்கே தோன்றலாம், இது பிழைத்திருத்தத்திற்கு வசதியானது மற்றும் மதிப்புகளை சலிப்பானதாக வைத்திருக்க ஒரு காரணம்: மக்களின் பெயர்கள் இல்லை, டிக்கெட் எண்கள் இல்லை, பதிவைப் படிப்பவர் பார்த்தால் உங்களுக்கு மோசமாகத் தோன்றும் எதுவும் இல்லை.

லேபிளை கூற்றாகக் கருதுங்கள், அடையாளமாக அல்ல

வாடிக்கையாளர் சுயவிவரத்தைத் திருத்தக்கூடிய யாரும் குறிச்சொல்லை மாற்றலாம், சுரங்கப்பாதை அங்கீகரிக்கப்பட்டிருப்பது குறிச்சொல்லை அதிகாரமிக்கதாக்காது. போக்குவரத்து வழியில் மதிப்பைப் பாதுகாக்கிறது; அது கூற்றைச் சான்றளிக்காது. அனுமதி இன்னும் அங்கீகரிக்கப்பட்ட அடையாளத்திற்கும் சேவையகம் வைத்திருக்கும் பதிவு உள்ளீட்டிற்கும் உரியது, தேவைப்படும்போது லேபிள் அந்தப் பதிவுடன் ஒப்பிடப்படுகிறது.

அந்த வேறுபாடே லேபிளை எங்கே பயன்படுத்தலாம் என்பதைத் தீர்மானிக்கிறது. நல்ல பயன்பாடுகள் ஒரு அமர்வை சரியான பதிவு கோப்புக்கு வழிநடத்துவது, டாஷ்போர்டில் காட்சிக் குழுவைத் தேர்ந்தெடுப்பது, அல்லது பின்னர் ஒரு மனிதர் கண்டுபிடிக்கும் வகையில் ஆதரவு அமர்வை லேபிள் செய்வது. மோசமான பயன்பாடுகள் ஒரு சாதனத்தை துணை வலையமைப்பில் அனுமதிப்பது, ஃபயர்வால் கொள்கையைத் தேர்ந்தெடுப்பது, அல்லது அமர்வு எந்த வாடிக்கையாளரின் தரவைப் படிக்கலாம் என்பதைத் தீர்மானிப்பது.

மதிப்பு ஒரு பாதை, வினவல் அல்லது ஷெல் கட்டளைக்கு வருவதற்கு முன் அதைச் சரிபாருங்கள். எதிர்பார்க்கப்படும் சரங்களின் அனுமதிப் பட்டியல் வரிசைப்படுத்தல் குறிச்சொல்லுக்குப் போதும், அது எதுவும் செலவாகாது. சக வழங்கிய சரத்தை ஒருபோதும் ஷெல் கட்டளை வரியில் செருக வேண்டாம், சேமிக்கப்பட்ட எந்தக் கண்காணிப்பையும் அமர்வுக்கு மட்டுப்படுத்துங்கள், அடுத்த வாடிக்கையாளர் மீண்டும் பயன்படுத்தும் சுரங்கப்பாதை முகவரிக்கு அல்ல.

case "${UV_DEPLOY:-}" in
  field-support|field-qa|lab) : ;;
  *) UV_DEPLOY=unknown ;;
esac

அதை சுத்தமாகத் திரும்பப் பெறுங்கள்

அம்சத்தை அகற்றுவது இரண்டு நீக்கங்கள் மற்றும் ஒரு சரிபார்ப்பு. வாடிக்கையாளர் சுயவிவரத்திலிருந்து setenv மற்றும் push-peer-info வரிகளை அகற்றி, பின்னர் சேவையகத்தில் கொக்கி மற்றும் அதன் பதிவு இலக்கை அகற்றவும் முடக்கவும் செய்யுங்கள்.

grep -rn 'UV_DEPLOY\|push-peer-info' /etc/openvpn/
tail -n 3 /var/log/openvpn/deploy-labels.log

பின்னர் ஒரு வாடிக்கையாளரை மீண்டும் இணைத்து பதிவு வரி தோன்றுவது நின்றுவிட்டதை உறுதிப்படுத்துங்கள். சுயவிவர மாற்றத்திற்குப் பிறகும் இயங்கும் கொக்கி பொதுவாக சோதனைச் சாதனத்தில் இன்னும் வரிசைப்படுத்தப்பட்ட இரண்டாவது சுயவிவரமாகும், இப்போது அதைக் கண்டுபிடிப்பது தணிக்கையின் போது கண்டுபிடிப்பதை விட மலிவு.

முடிவில் எஞ்சுவது மூலம் பதிவு செய்யப்பட்ட சிறிய, வரையறுக்கப்பட்ட அமர்வு மெட்டாடேட்டா துண்டு: வாடிக்கையாளர் அதைக் கூறுகிறார், சேவையகம் அதைப் பதிவு செய்கிறது, அணுகல் பற்றி எதுவும் அதைச் சார்ந்திருக்கவில்லை. இதுவே அம்சத்தின் பயனுள்ள பதிப்பு, அங்கு செல்ல புதிய அடையாளச் சான்று தேவையில்லை.