Монтування SSHFS належать користувачеві, а не VPN-гачку

Припущення легко засвоїти й важко помітити: гачок підключення VPN працює як root, тож і монтування, яке він запускає, має бути організоване як root. Таке міркування породжує командний каталог, який користувач робочого столу не може відкрити, монтування, що зникає під час перезапуску служби-тригера, і запит автентифікації в контексті, де ніхто не може на нього відповісти. Гачок і монтування — дві різні роботи, і лише одна з них потребує привілеїв.

Міф: мережеві привілеї означають привілеї монтування

Підняття інтерфейсу й автентифікація на файловому сервері — не пов'язані можливості, і зазвичай вони належать різним обліковим записам. Компоненту VPN потрібні достатні привілеї для зміни маршрутів та інтерфейсів. Обліковому запису файлового сервера потрібен ключ або пароль, рішення щодо ключа хоста й домашній каталог для монтування. Передача облікових даних другої роботи першій ідентичності — це шлях, яким мережевий сервіс починає зберігати ключ користувача.

На ноутбуці одного користувача це може бути той самий обліковий запис, і такий збіг не є проєктом.

Щойно привілейований гачок виконує монтування, три речі тихо ламаються. Монтування належить root, агент користувача відсутній у цьому середовищі, а помилки з'являються в журналі мережевого сервісу, а не в сеансі, якому це важливо. Ніщо з цього не виправляється додаванням опцій до команди монтування. Це виправляється передачею роботи сеансу, що володіє ідентичністю.

Чому монтування належить користувачеві, який увійшов

Монтування SSHFS — це монтування FUSE, що належить процесу, який його створив, і доступ іде за цим володінням, а не за режимом батьківського каталогу. Довідка рекомендує звичайного користувача з точкою монтування, що належить йому, і саме тому монтування, створене процесом root, незручне для всіх інших. Зміна прав на точці монтування це не виправляє, бо перешкодою є сам власник монтування.

Почніть із ручної базової лінії всередині сеансу користувача: наявна порожня точка монтування під домашнім каталогом, авторизований обліковий запис на сервері й ключ хоста, уже перевірений вашим затвердженим процесом. Змонтуйте вручну один раз і використайте, бо це доводить, що шлях ідентичності працює до появи будь-якої автоматизації. Запишіть, що знадобилося команді: ім'я облікового запису, шлях експорту й приватне ім'я хоста. Збережіть саме цей контекст для автоматизованої версії, адже робоче ручне монтування — це специфікація, яку тригер має відтворити.

sshfs [email protected]:/exports/team "$HOME/mnt/team"

Вважайте кожне ім'я та шлях у цьому рядку заповнювачем, включно з обліковим записом і експортом. Пароль облікового запису VPN не стає автоматично обліковими даними облікового запису сховища.

Що тригер має попросити в сеансу

Підтримувана схема — запит від мережевої події до сеансу користувача, а не позичені облікові дані. Обмежте тригер тим з'єднанням, яке маєте на увазі, за іменем або UUID, а не будь-яким інтерфейсом, що випадково називається tun0. Ця єдина зміна не дає другому профілю, тестовому тунелю чи сеансу налагодження колеги почати монтування.

Дія на боці сеансу має знайти передбачуване наявне монтування, а потім зробити одну обмежену спробу.

Не повторюйте спробу при кожному опитуванні й не запитуйте облікові дані, доки сервер недоступний, бо і те, і інше перетворює короткочасний збій на блокування облікового запису. Служба без нагляду — це окремий проєкт із власними затвердженими обліковими даними й власною перевіркою хоста в її власному контексті виконання, і вона не може розраховувати, що хтось розблокував графічний агент. Вирішіть, що саме з двох ви будуєте, перш ніж обирати, де живе код. Більшість плутанини тут виникає через те, що будують одне, а очікують інше.

Відключення — це подія файлової системи, а не подія гачка

Планове відключення має завершити файлові операції й відмонтувати із сеансу користувача, що монтує, підтримуваною командою для цього типу файлової системи. Примусове від'єднання, щоб гачок швидко повернувся, — це шлях, яким застосунки втрачають робочий каталог, а користувачі — довіру до автоматизації. Зайняте монтування потребує рішення на рівні застосунку, наприклад закрити файл або зупинити запис, а не сильнішого сигналу. Код виходу гачка — не те, що оптимізується.

fusermount3 -u "$HOME/mnt/team"

Неочікувана втрата — інший випадок, і SSHFS документує, що перервана операція може блокуватися, поки транспорт перепідключається.

Опція перепідключення відновлює транспорт, а файли, відкриті до цього перепідключення, все ще можуть повертати помилки й потребувати повторного відкриття. VPN, що повернувся, нічого не доводить про попередні дескриптори чи незбережену роботу. Виберіть бажану поведінку під час збою — паузу, показ помилки або навмисне повторне монтування — і перевірте її на одноразових файлах, перш ніж щось від неї залежатиме.