Lẹ́yìn ìdínkù àṣẹ: àwọn fáìlì OpenVPN wo ni ó ṣì ń ṣiṣẹ́?

Àkókò pípẹ́ ti ìṣiṣẹ́ ń fi kìkì pé ìbẹ̀rẹ̀ ṣẹ́gun pẹ̀lú àwọn àṣẹ tí ẹ̀dá-ìsọ̀rí ní ní àkókò yẹn. Àwọn ìkùnà tí ó ṣe pàtàkì níbí ń bọ̀ lẹ́yìn: alábàáṣepọ̀ tuntun ń so mọ́, a ń pààrọ̀ àkọsílẹ̀ ìfagilé, síkírípì olùrànlọ́wọ́ gbọdọ̀ kọ fáìlì kan. Ọ̀kọ̀ọ̀kan wọ̀nyí jẹ́ ṣíṣí tuntun tí àkọsílẹ̀ tí kò ní àṣẹ ṣe, pẹ̀lú ìbéèrè ìyọ̀nda rẹ̀ àti ìfiránṣẹ́ àṣìṣe rẹ̀. Àwọn ìpinnu mẹ́ta ń yà ètò tí ń bá a nìṣó láti ṣiṣẹ́ kúrò nínú èyí tí yóò kùnà ní ìṣẹ̀lẹ̀ tó ń bọ̀.

Ya ohun tí a kó sínú ní ìbẹ̀rẹ̀ kúrò nínú ohun tí a ń ṣí lẹ́yìn

Àpèjúwe kan jẹ́ ìdìmú lórí àpèjúwe fáìlì tí ó ṣí, a sì ti fi ipò ìwọlé mulẹ̀ nígbà tí a dá àpèjúwe yẹn. Yíyí olùlò ìlànà padà lẹ́yìn kò ti ìdìmú náà mọ́, ìdí nìyẹn tí fáìlì kọ́kọ́rọ́ tí a kà gẹ́gẹ́ bí root fi ń ṣiṣẹ́ lẹ́yìn ìdínkù àṣẹ. Ipò náà kò yí padà: ìdìmú tí a ṣí fún kíkà kò di èyí tí a lè kọ, a kò sì gbà ìdìmú tí a lè kọ padà kìkì nítorí pé àkọsílẹ̀ pàdánù ẹ̀tọ́ rẹ̀ lórí ọ̀nà náà. Àwọn òtítọ́ méjì wọ̀nyí ń ṣàlàyé ọ̀pọ̀ jùlọ ìhùwàsí ìyàlẹ́nu nínú àwọn ìròyìn wọ̀nyí.

Ìlàjì kejì ni ìrántí. Ẹ̀dá-ìsọ̀rí lè ṣàyẹ̀wò ẹ̀rí kan, pa ohun tí a ṣàyẹ̀wò mọ́, kí ó sì ti fáìlì náà mọ́; ohun tí ó ń wà nínú ìlò ni dátà, kì í ṣe fáìlì tí ó ṣí. Nítorí náà ìrìnàjò tí ń bá a nìṣó kò fi hàn pé àpèjúwe kan ṣí tàbí pé a lè dé orúkọ ọ̀nà náà. Ó ń fi kìkì hàn pé a ti gba ohun tí a nílò fún àpéjọ ìsinsìnyí ṣáájú.

Ṣíṣí tó ń bọ̀ lẹ́yìn jẹ́ ìdúnàádúrà mìíràn. Ó ń ṣiṣẹ́ lábẹ́ àwọn ẹ̀rí ìsinsìnyí, ipò ààbò ìsinsìnyí àti ìwòye ìgbékalẹ̀ ìsinsìnyí, nítorí náà ọ̀nà tí a kà ní ìbẹ̀rẹ̀ lè di èyí tí a kọ̀ ní ìsopọ̀ tó ń bọ̀. Yíyípadà ń fi páànù kan kún: kíkọ fáìlì tuntun sórí orúkọ ọ̀nà kan náà ń fi àpèjúwe tí ó wà sókè sí ohun àtijọ́, nítorí náà ìkójápadà lè dàbí ẹni tí ó ṣẹ́gun nígbà tí ẹ̀dá-ìsọ̀rí ṣì ń lo ohun tí ó wà ṣáájú. Fi inode tí ìlànà náà di wéwé pẹ̀lú èyí tí ó wà lórí díísì kí o tó gbà pé yíyípadà ti wà lẹ́gbẹ̀ẹ́.

Dárúkọ àwọn ìkà mẹ́ta ti àkókò ìṣiṣẹ́ àti ìgbà tí ọ̀kọ̀ọ̀kan ṣẹlẹ̀

Àwọn ohun àmúlò mẹ́ta ni a sábà máa ń ṣí pẹ́ lẹ́yìn ìbẹ̀rẹ̀, wọ́n sì ń kùnà ní àwọn àkókò ọ̀tọ̀ọ̀tọ̀. A ń ka fáìlì ìgbékalẹ̀ ti alábàáṣepọ̀ pàtó nígbà tí alábàáṣepọ̀ yẹn bá so mọ́, nítorí náà ó lè já fún olùlò kan nígbà tí àwọn yòókù ń bá a lọ. A ń wo dátà ìfagilé nígbà ìjẹ́rìí ẹlẹ́gbẹ́ àti lẹ́ẹ̀kan sí i nígbà tí a pààrọ̀ fáìlì náà. A kì í fi ọwọ́ kan àkójọ àkókò díẹ̀ àyàfi nígbà tí síkírípì tàbí àfikún bá kọ nǹkan kan.

Kò sí ọ̀kan nínú àwọn mẹ́ta náà tí ó jẹ́ ti ọ̀nà ìbẹ̀rẹ̀, ìdí nìyẹn tí olùsìn ẹ̀rọ tí ó ti ní ìlera fún ọ̀sẹ̀ púpọ̀ fi lè kùnà ní ìsopọ̀ tó ń bọ̀. Ẹ̀ka náà tún dárúkọ ẹni tí àtúnṣe jẹ́ tirẹ̀: àwọn méjì àkọ́kọ́ jẹ́ ẹ̀tọ́ kíkà lórí ìgbékalẹ̀ lábẹ́ àkọsílẹ̀ ẹ̀dá-ìsọ̀rí, ẹ̀kẹta sì jẹ́ ibi tí a lè kọ pẹ̀lú èròjà tóóró.

persist-key ń dáhùn ìbéèrè tóóró ju bí ọ̀pọ̀ ènìyàn ṣe rò lọ. Ó ń pa fáìlì kọ́kọ́rọ́ mọ́ ṣíṣí káàkiri àwọn àtúntò SIGUSR1 àti ping-restart tí a kọ sílẹ̀ mọ́, kò sì ṣe nǹkan kan fún àwọn fáìlì CCD, dátà ìfagilé, àwọn ètò ìmúṣẹ olùrànlọ́wọ́ tàbí àtúnbẹ̀rẹ̀ ìlànà pátápátá. Àwọn wọ̀nyẹn ṣì ń tẹ̀lé àwọn ọ̀nà ṣíṣí tiwọn, lábẹ́ àkọsílẹ̀ èyíkéyìí tí ó ń ṣiṣẹ́ ní àkókò yẹn.

Jẹ́rìí àkọsílẹ̀ náà àti ìwòye tí ó ní ní tòótọ́

Bèèrè lọ́wọ́ ẹ̀dá-ìsọ̀rí tí ó ń ṣiṣẹ́ irú àkọsílẹ̀ tí ó ń lò dípò gbígbẹ́kẹ̀lé fáìlì unit, lẹ́yìn náà fi ìdáhùn náà wéwé pẹ̀lú ohun tí unit gbé kalẹ̀. Àìbáraẹnisọ̀rọ̀ ni ohun àkọ́kọ́ tí a gbọdọ̀ yanjú, nítorí gbogbo àyẹ̀wò ẹ̀tọ́ tó ń bọ̀ ń ṣiṣẹ́ gẹ́gẹ́ bí ẹni tí ìlànà náà jẹ́ ní tòótọ́. Lẹ́yìn náà rìn ọ̀nà náà ní ẹ̀yà kan sí ẹ̀yà; a ń ṣàyẹ̀wò ìkọjá ní gbogbo ìpele, nítorí náà fáìlì tí a lè kà nínú àkójọ tí a kò lè kọjá ń wà ní àìkà. Ipò fáìlì ìkẹyìn ni ìbéèrè ìkẹyìn, kì í ṣe èyí àkọ́kọ́.

Àwọn orúkọ ààyè àti àwọn àpótí iyanrìn ti iṣẹ́ ń fi àwọn ààlà kún tí ìní àti àwọn bítì ipò kò ṣàlàyé. Ọ̀nà tí ó hàn nínú shell rẹ lè máà wà tàbí kí ó jẹ́ kíkà nìkan nínú chroot, orúkọ ààyè ìgbékalẹ̀ tàbí unit tí ó fi àwọn àkójọ ilé pamọ́. Àwọn mọ́dù ààbò ń fi ẹ̀yà mìíràn kún, nítorí náà fáìlì tí ó dàbí ẹni tí a lè kà lè di èyí tí a kọ̀ nígbà tí a ṣí i.

ps -o user:12,pid,args -C openvpn
systemctl show -p User -p Group -p ProtectHome -p RootDirectory [email protected]
sudo -u openvpn namei -l /etc/openvpn/ccd/alice

Kíkà tí ó ṣẹ́gun nínú shell alábòójútó kò ṣàyẹ̀wò ọ̀kan nínú àwọn ipò àpapọ̀ yẹn. Ṣe àyẹ̀wò náà gẹ́gẹ́ bí àkọsílẹ̀ ẹ̀dá-ìsọ̀rí, pẹ̀lú orúkọ ààyè àti àpótí iyanrìn kan náà, tàbí gbà pé àbájáde náà ń ṣàlàyé shell rẹ kì í ṣe olùsìn ẹ̀rọ. Àṣẹ kẹta ni ẹ̀dà tí kò níye lórí ti ìdánwò yẹn: ó ń tẹ̀ ìpò ẹ̀yà kọ̀ọ̀kan jáde, ó sì ń kùnà ní ẹ̀yà àkọ́kọ́ tí àkọsílẹ̀ ẹ̀dá-ìsọ̀rí kò lè kọjá.

Fún kíkọ àkókò ìṣiṣẹ́ ní àkójọ tirẹ̀

Kíkà jẹ́ ìdajì àkọsílẹ̀ nìkan. Síkírípì olùrànlọ́wọ́ lè nílò láti dá fáìlì ipò, àfikún lè nílò láti kọ ipò lẹ́gbẹ̀ẹ́ ìgbékalẹ̀ rẹ̀, a kò sì bo àwọn kíkọ yẹn pẹ̀lú fífi igi ìgbékalẹ̀ ṣe é tí a lè kọ. Fún àkójọ pàtó náà ní ẹ̀tọ́ kíkọ tí iṣẹ́ rẹ̀ nílò, pẹ̀lú ẹni tí ó ni àti ipò tí o lè ṣàlàyé. Yan ìwọlé kíkà nìkan fún gbogbo ohun tí a kò kà bí kíkà nìkan.

Pa àwọn ẹ̀tọ́ kọ́kọ́rọ́ àdáni mọ́ ọ̀tọ̀ sí àwọn fáìlì ìlànà. Kọ́kọ́rọ́ tí a gbọdọ̀ kà lẹ́ẹ̀kan sí i lẹ́yìn àtúntò ní ìbéèrè mìíràn ju fáìlì alábàáṣepọ̀ tí a ń kà ní gbogbo ìsopọ̀ lọ, ipò àìní ìdánilójú kan fún méjèèjì ń fi ìwọlé tó pọ̀ ju èyí tí ìṣòro náà béèrè lọ. Àkọsílẹ̀ ẹ̀dá-ìsọ̀rí àkànṣe tí ó ní ìní tóóró rọrùn láti ṣàyẹ̀wò ju ẹgbẹ́ gbígbòòrò lọ. Nígbà tí kọ́kọ́rọ́ gbọdọ̀ gbé àwọn àtúntò já, persist-key ó ń yọ kíkà lẹ́ẹ̀kan sí i kúrò dípò fífi àkójọ gbòòrò.

Pinnu láti inú ìṣẹ̀lẹ̀ tí o lè tún ṣe

Òjò ojú-ọ̀nà tí ó wà láàyè ń fi ọ̀nà kan hàn nínú kóòdù. Ìṣẹ̀lẹ̀ tí ó nílò fáìlì náà ni ìdánwò kan ṣoṣo tí ó bo ṣíṣí tí ó kàn ọ́, yálà ìsopọ̀ alábàáṣepọ̀ tuntun, fáìlì ìfagilé tí a pààrọ̀, àtúntò rírọ̀ tí a gbà àti àtúnbẹ̀rẹ̀ tí a gbèrò. Yan ìṣẹ̀lẹ̀ náà, ṣe é, kí o sì pa àṣìṣe àkọ́kọ́ mọ́ dípò èyí ìkẹyìn.

Fún àtúntò rírọ̀, àmì kan àti àkọsílẹ̀ unit ń fi hàn bóyá a kà kọ́kọ́rọ́ náà lẹ́ẹ̀kan sí i. Fi àmì náà ránṣẹ́, lẹ́yìn náà ka àwọn ìlà ìkẹyìn tí unit kọ:

systemctl kill -s SIGUSR1 [email protected]
journalctl -u [email protected] -n 40 --no-pager

Má ṣe parí pé ẹ̀dá-ìsọ̀rí tí a ti gbógun tì kò lè tún ṣàtúnṣe fáìlì mọ́ kìkì nítorí pé a ti dín àṣẹ kù. Ohun tí ó ṣì lè ṣe dúró lórí àwọn ẹ̀rí tí ó kù, agbára rẹ̀, àwọn àkójọ tí ó lè kọ sínú àti àpèjúwe kíkọ èyíkéyìí tí ó ṣì di. Ìdínkù àṣẹ ń dín agbára kù, àkọsílẹ̀ àwọn ṣíṣí àkókò ìṣiṣẹ́ sì ni ó ń fi hàn bó ti pọ̀ tó. Kọ ààlà yẹn lẹ́gbẹ̀ẹ́ ìgbékalẹ̀ kí ẹni tó ń bọ̀ má baà tún ṣàwárí rẹ̀.