PrivateTmp: hook faylni yozdi, ammo u qayerga ketdi?

Hook'lar muvaffaqiyat haqida xabar beradi, ammo o'sha yo'l shell'dan qaraganda hali ham bo'sh ko'rinadi. Ikkala bayonot bir vaqtning o'zida to'g'ri bo'lishi mumkin, chunki systemd xizmati o'zining mount nom maydonida xususiy vaqtinchalik katalog bilan yashashi mumkin. Bu tushunilgach, qiziqarli savol yozish umuman muvaffaqiyatli bo'ldimi degan savolga aylanadi.

Ikki vaqtinchalik katalog, bitta yo'l

Izolyatsiya sozlamasi blokka vaqtinchalik kataloglarning xususiy ko'rinishini beradi, ularni faqat o'qish uchun qilish o'rniga. Blokdan tashqari jarayonlar u yerda nima yozilayotganini ko'ra olmaydi, blok to'xtaganda qolgan hamma narsa tashlab yuboriladi. Shuning uchun hook chop etgan yo'l va shell'dan tekshirilgan yo'l bir xil nomli turli obyektlarga ishora qilishi mumkin.

Bu ko'rinish muammosi, va u ma'lumot yo'qotish muammosiga o'xshaydi. Hech narsa o'chirilmagan, chunki fayl shunchaki shell a'zo bo'lmagan nom maydonida turibdi. Xuddi shu buyruq blok ichida bajarilganda boshqacha harakat qiladi, va aynan shu kuzatuv odatda bahsni hal qiladi. Yozish haqida biror xulosa chiqarishdan oldin blok sozlamalarini o'qing.

Ko'rinmasni yozib bo'lmaydiganidan ajrating

Muvaffaqiyatli yozish va muvaffaqiyatsiz ochish turli dalillar beradi, va bu farq tuzatishni belgilaydi. Agar hook fayl yaratilganini aytsa, ammo tashqi o'quvchi uni topa olmasa, sizda nom maydoni savoli bor. Agar hook ruxsat xatosi yoki muvaffaqiyatsiz ochilish haqida xabar bersa, fayl hech qachon yozilmagan va nom maydonining hech qanday o'zgarishi yordam bermaydi.

systemctl show [email protected] -p PrivateTmp -p User -p Group -p RuntimeDirectory
systemctl show [email protected] -p MainPID --value
sudo ls -l /proc/PID/root/tmp/client-state

Jarayon ildizi yo'li xizmatning o'z fayl tizimi ko'rinishini ochib beradi, jarayon hali ishlab turganda unga nisbatan ruxsat tekshiruvlariga bog'liq. Blok jurnalini o'sha sessiyada o'qing, chunki kimdir sababni allaqachon hal qilgan bo'lsa, yozish xatosi va yo'qolgan faylni aralashtirish oson.

Umumiy ma'lumotlarga aniq joy bering

Faqat xizmatga kerak bo'lgan ma'lumotlar uning xususiy vaqtinchalik katalogida bo'ladi. Boshqa jarayon o'qishi kerak bo'lgan ma'lumotlar ikkalasi uchun belgilangan yo'lni talab qiladi, unda egasi, rejimi va muddati ko'rsatilgan. Blokni tahrirlashdan oldin ikki holatdan qaysi biri sizda borligini hal qiling. Bu hodisalarning ko'pchiligi xususiy faylni umumiy fayl deb qarashdan kelib chiqadi.

[Service]
RuntimeDirectory=openvpn-hook-office
RuntimeDirectoryMode=0750

Ish vaqti katalogi jildni tizimning ish vaqti hududi ostiga joylashtiradi, uni blokning sozlangan foydalanuvchisi va guruhi uchun yaratadi va blok to'xtaganda olib tashlaydi. Paket bloki buzilmasligi uchun uni drop-in orqali qo'shing, so'ngra menejerni qayta yuklang va o'sha nusxani qayta ishga tushiring, uning mijozlari qayta ulanadi degan fikrni qabul qilib.

O'rnatilgan blok allaqachon talab qiladigan har qanday ish vaqti katalogini saqlang. Ro'yxatga qo'shish o'rniga uni almashtirish o'zgarish bilan hech kim bog'lamaydigan aloqasiz xususiyatni buzishning keng tarqalgan usuli.

Ikki imtiyoz qatlami kelisha olmasligi mumkin

Xizmat menejeri katalogni blokning sozlangan foydalanuvchisi uchun yaratadi, VPN demoni esa ulanish hookini ishga tushirishdan oldin alohida o'z hisobiga tushishi mumkin. Bular turli qatlamlar, va ular turli shaxslarni nomlashi mumkin.

Rootga tegishli cheklovchi rejimli katalog allaqachon imtiyozlardan voz kechgan demonga to'liq ko'rinadi, va shunga qaramay u uchun yozib bo'lmaydi. Shunda xato ruxsat muammosi sifatida o'qiladi, yo'l esa aynan siz kutgan joyda mavjud bo'lsa ham. Katalog egasini hook xabar bergan shaxs bilan solishtiring. Ular farq qilsa, rejim hech qachon savol bo'lmagan.

Egalikni o'zgartirishdan oldin hook haqiqatan qaysi shaxs ostida ishlashini tekshiring. Katalogni tuzatish uchun xizmatning bajarilish foydalanuvchisini o'zgartirish boshqa joyda qurilma kirishini va tarmoq imtiyozlarini o'zgartirishi mumkin, bu kichik muammo uchun katta narx.

Butun topshirishni tekshiring

Bir vaqtning o'zida to'rt narsani tasdiqlang: hook o'zining haqiqiy shaxsi ostida yozadi, mo'ljallangan o'quvchi faylni ishlata oladi, aloqasiz foydalanuvchilar ishlata olmaydi va blokni to'xtatish loyihada ko'rsatilgandek tozalaydi. Xostning umumiy vaqtinchalik katalogida fayl paydo bo'lishi talab emas, va bu odatda almashinuv hech qachon o'z yo'liga ega bo'lmaganining belgisidir. O'quvchini qayta ishga tushirgandan keyin sinang, faqat birinchi ishga tushirish paytida emas. Tozalash xatti-harakati loyihaning bir qismi, shuning uchun taxmin qilish o'rniga kuzating.

Doimiy holat umri mos keladigan joyga tegishli, chunki ish vaqti katalogi yo'qolish uchun yaratilgan. Joyni qulaylikka emas, umrga qarab tanlang. Bu odat xuddi shu tekshiruvning keyingi versiyasini oldini oladi.