openvpn3 session-start உங்கள் அறிமுகச் சான்று கோப்பை புறக்கணிக்கிறது

2.x வாடிக்கையாளருடன் இணைத்தால் சுயவிவரம் வேலை செய்கிறது; அதே கோப்பை 3.x வாடிக்கையாளருக்குக் கொடுத்தால் அது கடவுச்சொல் கட்டளையில் நிற்கிறது. --auth-user-pass creds.txt ஐ openvpn3 session-start க்குக் கொடுத்தாலும் முடிவு அதுவே, ஏனெனில் புதிய வாடிக்கையாளரிடம் அந்தக் கோப்பைப் படிக்கும் நிலை இல்லை. இந்த மறுப்பு வேண்டுமென்றே: சான்றுகள் ஒரு அமர்வுக்கு உரியவை, அமர்வை உருவாக்குவது முனையத்தின் செயல்முறை அல்ல, ஒரு சேவை. ஊடாடும் கட்டளைக்கும் autoload உதவியாளருக்கும் இடையே ஒன்றைத் தேர்ந்தெடுத்து, ஒவ்வொன்றும் என்ன சேமிக்கிறது என்பதை அறியுங்கள்.

சேமித்த கோப்புக்கு போக இடம் ஏன் இல்லை

புதிய வடிவமைப்பில், கட்டமைப்பு மேலாண்மையும் அமர்வு மேலாண்மையும் கணினி பாட்டை வழியாகப் பேசும் தனித்தனி சேவைகள். அந்தப் பிரிவுதான் சாதாரண பயனருக்கு, சிறப்புரிமை பெற்ற டீமன் அவர்கள் சார்பாகப் பாதுகாக்கப்பட்ட கடவுச்சொல் கோப்பைப் படிக்காமல் அமர்வைத் தொடங்க அனுமதிக்கிறது. கோப்பு அடிப்படையிலான சான்றுகள் அந்த மாதிரியில் இடம் பெறாது, ஏனெனில் அவற்றைப் படிக்கும் டீமன் பக்கத் தொடக்கம் இல்லை. மறுப்பு கட்டமைப்பின் விளைவு, இல்லாத அம்சம் அல்ல.

பழைய முறையைப் பெயரிட்டால் அதைக் கைவிட எளிதாகும்: சுயவிவரம் ஒரு சான்றுக் கோப்பைக் குறிப்பிடுகிறது, சுரங்கப்பாதை தொடங்கும்போது டீமன் அதைப் படிக்கிறது. புதிய மாதிரியில் சான்றுகள் ஒரு அமர்வுக்கு உரியவை, அந்த அமர்வு தொடங்கும்போது வழங்கப்படும். openvpn3 session-start --config work.ovpn அவற்றைக் கேட்கிறது, --auth-user-pass creds.txt நிராகரிக்கப்படுகிறது ஏனெனில் அந்த வழியில் கோப்பைத் திறக்க எதுவும் இல்லை. நீங்கள் காணும் ஒவ்வொரு 2.x செய்முறையும் இப்போது இல்லாத நிலையைக் கருதுகிறது.

கட்டமைப்பும் தளத்தின் உள்ளூர் அமைப்புகளும் தனித்தனியே உள்ளன, இது இரண்டாவது ஆச்சரியத்தை விளக்குகிறது. சுயவிவரம் முழுமையாகத் தெரியலாம், ஆனால் அது உருவாக்கும் இணைப்பில் வழிப்பாதை மற்றும் தீர்வி கட்டமைப்பு இல்லை. அந்தப் பகுதிகள் இறக்குமதி செய்யப்பட்ட கோப்பிலிருந்து தனியாக, தளத்தின் உள்ளூர் அமைப்புகளாகப் பயன்படுத்தப்படுகின்றன.

கட்டளை வழியும் அது விட்டுச் செல்லும் அமர்வும்

அமர்வு தொடங்கும்போது கடவுச்சொல்லை வழங்குவதே நோக்கமான பணிப்பாய்வு. வாடிக்கையாளர் ஒருமுறை கேட்டு, சான்றுகளை அமர்வின் பின்தளத்துக்குக் கொடுத்து தொடர்கிறது:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

அந்த வழியில் வட்டில் எதுவும் எழுதப்படுவதில்லை. முனையம் மூடிய பிறகும் அமர்வு இயங்கிக்கொண்டே இருக்கிறது, இது செயல்முறை தங்கள் ஷெல்லுடன் இறந்துவிடும் என எதிர்பார்ப்பவர்களை ஆச்சரியப்படுத்துகிறது. அமர்வு கையாளுதலை ஒரு சேவைக்கு மாற்றுவதன் நோக்கம் அதுவே. அமர்வு, அதைக் கோரிய முனையத்தை விட நீண்ட காலம் வாழ்கிறது, அதை வெளிப்படையாக நிறுத்த வேண்டும்.

முன்னே மனிதர் இருக்கும் பணிநிலையத்துக்கு இதுவே மிகப் பாதுகாப்பான தேர்வும் ஆகும், ஏனெனில் பாதுகாக்கவோ மறக்கவோ சேமித்த ரகசியம் இல்லை. யாரும் தட்டச்சு செய்ய இல்லாத இடத்தில் மட்டுமே இது பொருந்தாது.

விசைப்பலகை முன் மனிதர் இல்லாத தானியங்கி

இயந்திரம் மனிதர் இல்லாமல் இணைக்க வேண்டிய இடத்தில், திட்டம் openvpn3-autoload ஐ வழங்குகிறது. அது சுயவிவரங்களின் கோப்பகத்தையும் ஒவ்வொரு சுயவிவரத்துக்கும் பொருந்தும் விவரிப்பையும் படிக்கிறது, விவரிப்பு சான்றுகளைத் தெளிவான உரையில் வழங்குகிறது. உதவியாளர் தனி இருமக் கோப்பு, பொதுவாக /usr/sbin/openvpn3-autoload இல், session-start இன் கொடி அல்ல. அதை அமைப்பது என்பது கோப்பகத்தை உருவாக்கி, விவரிப்பு எதிர்பார்க்கும் பெயரில் சுயவிவரத்தை நகலெடுத்து, விவரிப்பை எழுதுவதாகும்.

ஒவ்வொரு பயனருக்குமான அமைப்பு இப்படி இருக்கும், அமர்வைச் சொந்தமாக்கப்போகும் கணக்காக இயக்கவும். கோப்பகப் பயன்முறை மற்ற உள்ளூர் பயனர்களை வெளியே வைக்கிறது:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

விவரிப்பு சான்றுகளைப் பெயரிட்டு தானியங்கித் தொடக்கத்தைக் கேட்கிறது. கடவுச்சொல் மதிப்பை பதிப்புக் கட்டுப்பாட்டுக்கு வெளியே வைக்கவும்:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

பின்னர் உதவியாளரை ஒருமுறை அழைத்து அமர்வு தோன்றுவதை உறுதிசெய்யவும். இரண்டாவது கட்டளை சரிபார்ப்பு, மற்றொரு அமைப்பு படி அல்ல:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

தொடக்கத்தில் openvpn3-autoload.service என்ற தொகுக்கப்பட்ட அலகு, ஒவ்வொரு பயனருக்குமானது அல்ல, முழு கணினியின் கோப்பகம் /etc/openvpn3/autoload ஐப் பயன்படுத்துகிறது. அந்த இடத்துக்கு root உரிமையும் கடுமையான பயன்முறையும் தேவை, விவரிப்பு இன்னும் கடவுச்சொல்லைத் தெளிவான உரையில் வைத்திருக்கிறது. சமரசம் தெளிவானது: கடவுச்சொல் இப்போது வட்டில் உள்ளது, எனவே அந்தக் கோப்பகத்தை ரகசியமாகக் கருதி, ஹோஸ்ட்டுக்கு வெளியேயான காப்புப்பிரதிகளிலிருந்து விலக்கி, மனிதர் இருக்கும்போதெல்லாம் ஊடாடும் வழியைத் தேர்ந்தெடுக்கவும்.

கடவுச்சொல் தோல்விகள் போலத் தெரியும் பாட்டைத் தோல்விகள்

சான்றுகளுக்குக் காரணமாகக் கூறப்படும் சில தோல்விகள் அப்படியே இல்லை. சேவையின் செயல்படுத்தல் வழியைப் பெயரிடும் அனுமதி பிழை இரண்டில் ஒன்றைக் குறிக்கிறது: பின்தளம் இயங்கவில்லை, அல்லது அழைப்பவருக்கு அதைச் செயல்படுத்த அனுமதி இல்லை. எந்தச் சுயவிவரத் திருத்தமும் இரண்டையும் மாற்றாது. கட்டமைப்பைத் தொடுவதற்கு முன் சேவை நிலையையும் வழங்கப்பட்ட பாட்டைக் கொள்கையையும் சரிபார்க்கவும்.

கீழேயுள்ள கட்டளைகள் இரண்டையும் பிரிக்கின்றன. முதலாவது பின்தளம் இயங்குகிறதா எனத் தெரிவிக்கிறது; இரண்டாவது சமீபத்திய பாட்டைப் பிழைகளைக் காட்டுகிறது:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

மற்றொரு பொதுவான தவறான வாசிப்பு தோன்றி உடனே மறையும் அமர்வு. அந்த முறை பொதுவாக தளத்தின் உள்ளூர் அமைப்புகள் ஒருபோதும் பயன்படுத்தப்படவில்லை என்று பொருள், எனவே சுரங்கப்பாதை அதைப் பயனுள்ளதாக்கும் வழிகள் மற்றும் தீர்வி மாற்றங்கள் இல்லாமல் மேலே வந்தது. கடைசி வரியை அல்ல, வரிசையைப் படியுங்கள்: அமர்வு உருவாக்கப்பட்டதா, இணைந்த நிலையை எட்டியதா, தப்பிப்பிழைத்ததா என்பது மூன்று தனித்தனி உண்மைகள்.

பழைய வாடிக்கையாளர் இன்னும் பயன்பாட்டில் இருக்கும்போது

2.x வாடிக்கையாளர் இன்னும் சான்றுக் கோப்பை ஏற்கிறது, விசை வளையம் ரகசியம் ஒருபோதும் வட்டை அடையாமல் அதன் கட்டளைக்குப் பதிலளிக்க முடியும். மேலுறை உள்ளீட்டைத் தீர்க்கிறது, எனவே கோப்பு கடவுச்சொல்லை அல்ல, தேடலைப் பெயரிடுகிறது. இந்த ஏற்பாடு திறந்த விசை வளையத்தைச் சார்ந்தது, உள்நுழைவு அமர்வு இல்லாத கொள்கலனோ யாரும் உள்நுழைவதற்கு முன் தொடங்கும் அலகோ அதை வழங்க முடியாது. பின்னர் தேடல் கருவி எழுத முடியாத தொகுப்பைப் புகாரளிக்கிறது, எனவே விசை வளையக் குறைபாடு சான்றுக் குறைபாடாகத் தெரிகிறது.

இவற்றில் எதையும் கட்டுவதற்கு முன், சுயவிவரத்தில் உள்ள keepalive அமைப்பு மறுதொடக்கத்தின் தேவையை முழுவதுமாக நீக்குகிறதா எனப் பாருங்கள். தொடர்ந்து இயங்கும் அமர்வு நீங்கள் தானியங்கியாக்க முயலும் கட்டளையை ஒருபோதும் அடையாது.