openvpn3 session-start hisob ma'lumotlari faylini e'tiborsiz qoldiradi

2.x mijozi bilan ulaning va profil ishlaydi; xuddi shu faylni 3.x mijoziga bering va u parol so'rovida to'xtaydi. --auth-user-pass creds.txt ni openvpn3 session-start ga bering va natija bir xil, chunki yangi mijozda faylni o'qiydigan bosqich yo'q. Rad etish ataylab: hisob ma'lumotlari sessiyaga tegishli, sessiyani esa terminaldagi jarayon emas, xizmat yaratadi. Interaktiv so'rov va autoload yordamchisi o'rtasida birini tanlang va har biri nimani saqlashini bilib oling.

Nega saqlangan faylning boradigan joyi yo'q

Yangi dizaynda konfiguratsiyani boshqarish va sessiyalarni boshqarish tizim shinasi orqali gaplashadigan alohida xizmatlardir. Aynan shu ajratish oddiy foydalanuvchiga imtiyozli demon uning nomidan himoyalangan parol faylini o'qimasdan sessiya boshlash imkonini beradi. Faylga asoslangan hisob ma'lumotlarining bu modelda o'rni yo'q, chunki ularni o'qiydigan demon tomonida ishga tushish yo'q. Rad etish arxitekturaning natijasi, yetishmayotgan funksiya emas.

Eski usulni nomlash foydali, shunda undan voz kechish osonroq bo'ladi: profil hisob ma'lumotlari fayliga murojaat qiladi va tunnel boshlanganda demon uni o'qiydi. Yangi modelda hisob ma'lumotlari sessiyaga tegishli va shu sessiya boshlanganda beriladi. openvpn3 session-start --config work.ovpn ularni so'raydi, --auth-user-pass creds.txt esa rad etiladi, chunki bu yo'lda faylni ochadigan hech narsa yo'q. Topadigan har bir 2.x retsepti endi mavjud bo'lmagan bosqichni nazarda tutadi.

Konfiguratsiya va saytning mahalliy sozlamalari ham ajratilgan, bu ikkinchi ajablanishni tushuntiradi. Profil to'liq ko'rinishi mumkin, ammo u yaratadigan ulanishda marshrutlash va rezolver konfiguratsiyasi yo'q. Bu qismlar import qilingan fayldan alohida, saytning mahalliy sozlamalari sifatida qo'llaniladi.

So'rov yo'li va u qoldiradigan sessiya

Sessiya boshlanganda parolni berish ko'zda tutilgan ish oqimi. Mijoz bir marta so'raydi, hisob ma'lumotlarini sessiya backendiga beradi va davom etadi:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

Bu yo'l bilan diskka hech narsa yozilmaydi. Sessiya terminal yopilgandan keyin ham ishlashda davom etadi, bu esa jarayon qobig'i bilan birga o'ladi deb kutganlarni ajablantiradi. Sessiyalarni boshqarishni xizmatga ko'chirishning ma'nosi shunda. Sessiya uni so'ragan terminaldan uzoqroq yashaydi va uni aniq to'xtatish kerak.

Oldida odam o'tirgan ish stantsiyasi uchun bu eng xavfsiz variant ham, chunki himoya qilish yoki unutish uchun saqlangan sir yo'q. U faqat hech kim terish uchun yo'q joyda yaroqsiz.

Klaviatura oldida odamsiz avtomatlashtirish

Mashina odamsiz ulanishi kerak bo'lgan joyda loyiha openvpn3-autoload ni taqdim etadi. U profillar katalogini va har bir profil uchun mos tavsifni o'qiydi, tavsif esa hisob ma'lumotlarini ochiq matnda beradi. Yordamchi alohida ikkilik fayl, odatda /usr/sbin/openvpn3-autoload da, session-start buyrug'ining bayrog'i emas. Uni sozlash katalogni yaratish, profilni tavsif kutgan nom bilan nusxalash va tavsifni yozish demakdir.

Har bir foydalanuvchi uchun sozlama shunday ko'rinadi va sessiyaga egalik qiladigan hisob sifatida ishga tushiriladi. Katalog rejimi boshqa mahalliy foydalanuvchilarni tashqarida ushlab turadi:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Tavsif hisob ma'lumotlarini nomlaydi va avtomatik boshlashni so'raydi. Parol qiymatini versiyalar nazoratidan tashqarida saqlang:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Keyin yordamchini bir marta chaqiring va sessiya paydo bo'lganini tasdiqlang. Ikkinchi buyruq tekshiruv, yana bir sozlash qadami emas:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

Yuklanishda openvpn3-autoload.service deb nomlangan paketlangan birlik har bir foydalanuvchi uchun emas, butun tizim katalogi /etc/openvpn3/autoload dan foydalanadi. Bu joyga root egaligi va qat'iyroq rejim kerak, tavsif esa parolni hali ham ochiq matnda saqlaydi. Murosa aniq: parol endi diskda yotibdi, shuning uchun bu katalogni sir deb biling, xostdan tashqari zaxira nusxalardan chiqarib tashlang va odam bor bo'lganda har doim interaktiv yo'lni tanlang.

Parol xatosiga o'xshab ko'rinadigan shina xatolari

Hisob ma'lumotlariga bog'lanadigan ba'zi xatolar umuman unday emas. Xizmatni faollashtirish yo'lini nomlaydigan ruxsat xatosi ikkidan birini bildiradi: backend ishlamayapti yoki chaqiruvchida uni faollashtirishga ruxsat yo'q. Hech qanday profil tahriri ikkalasini ham o'zgartirmaydi. Konfiguratsiyaga tegishdan oldin xizmat holatini va taqdim etilgan shina siyosatini tekshiring.

Quyidagi buyruqlar bu ikkisini ajratadi. Birinchisi backend ishlayotganini xabar qiladi; ikkinchisi oxirgi shina xatolarini ko'rsatadi:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Yana bir keng tarqalgan noto'g'ri o'qish paydo bo'lib, darhol yo'qoladigan sessiyadir. Bu naqsh odatda saytning mahalliy sozlamalari hech qachon qo'llanilmaganini bildiradi, shuning uchun tunnel uni foydali qiladigan marshrutlar va rezolver o'zgarishlarisiz ko'tarilgan. Oxirgi qatorni emas, ketma-ketlikni o'qing: sessiya yaratildimi, ulangan holatga yetdimi va omon qoldimi, bu uch alohida fakt.

Eski mijoz hali ishlatilayotganda

2.x mijozi hali ham hisob ma'lumotlari faylini qabul qiladi va kalit halqasi sir hech qachon diskka yetmasdan uning so'roviga javob bera oladi. O'ram yozuvni hal qiladi, shuning uchun fayl parolni emas, qidiruvni nomlaydi. Bu tartib ochilgan kalit halqasiga bog'liq, uni kirish sessiyasi yo'q konteyner yoki kimdir kirishidan oldin ishga tushadigan birlik bera olmaydi. Keyin qidiruv vositasi yoza olmaydigan to'plam haqida xabar beradi, shuning uchun kalit halqasi xatosi hisob ma'lumotlari xatosiga o'xshaydi.

Bularning birortasini qurishdan oldin, profildagi keepalive sozlamasi qayta ishga tushirish zaruratini butunlay olib tashlaydimi, tekshiring. Ishlab turgan sessiya siz avtomatlashtirmoqchi bo'lgan so'rovga hech qachon yetmaydi.