Kí ni ó fi jẹ́ pé gbígbé ẹ̀rí VPN kan ń fọ́ àmì SELinux rẹ̀

Àwọn ẹ̀rí lè wà nínú àpò tí ó tọ́ pẹ̀lú ipò tí a lè kà àti ẹ̀tọ́ root, àti pé iṣẹ́ náà ṣì lè sọ pé kò lè ṣí fáìlì náà. Nínú ẹ̀rọ SELinux, àkópọ̀ yẹn ń tọ́ka sí ọ̀nà kan pàtó, kì í ṣe àwọn ẹ̀tọ́. Àmì náà rìn pẹ̀lú fáìlì náà, nítorí yíyí orúkọ padà kì í dá ohun tuntun. inode pa àyíká ààbò tí ó ní ní ọ̀nà àtijọ́ mọ́, ìlànà fún ọ̀nà tuntun kò sì rí àǹfààní láti yan tirẹ̀.

Kí ni yíyí orúkọ padà ń ṣe sí àmì gan-an

Fáìlì ń gbé àyíká SELinux rẹ̀ gẹ́gẹ́ bí dátà àfidámọ̀ tí a so mọ́ inode. Yíyí orúkọ padà nínú ẹ̀rọ fáìlì kan ṣoṣo yóò yí àkọsílẹ̀ àpò padà àti ohunkóhun mìíràn, èyí tí ó yára tí ó sì jẹ́ átọ́mù, àti ìdí tí àyíká fi ye gbígbé náà. A kì í béèrè ìlànà kankan, a kì í fi ìpèsè àìtọ́ sílẹ̀, a kì í sì tẹ ìkìlọ̀ kankan jáde.

Dídàwò jẹ́ ìwà mìíràn. Ẹ̀dà kan ń dá inode tuntun nínú àpò àfojúsùn, ìlànà sì ń yan àyíká láti inú irú àpò yẹn, nítorí náà ẹ̀rí tí a dàwò máa ń parí pẹ̀lú àmì tí ó tọ́ nígbà tí èyí tí a gbé yóò wà ní àìtọ́. Ìyàtọ̀ kan ṣoṣo yẹn ni ó ń ṣàlàyé ọ̀pọ̀ ìdàrúdàpọ̀ nínú irú tikẹ́ẹ̀tì yìí.

Gbígbé láàárín àwọn ẹ̀rọ fáìlì ń padà sí ìtumọ̀ dídàwò, nítorí náà pàṣẹ kan náà lè hùwà yàtọ̀ lórí ẹ̀rọ méjì ní ìbámu pẹ̀lú bóyá /etc wà lórí ìwọ̀n tirẹ̀. Ṣàyẹ̀wò èyí kí o tó pinnu pé irinṣẹ́ náà kò ṣeé gbẹ́kẹ̀lé. Ìwò kan lórí tábìlì mount yóò sọ fún ọ irú gbígbé tí o ṣe.

Ka àmì tí ó wà lọ́wọ́ lọ́dìí èyí tí a retí

Àwọn pàṣẹ mẹ́ta tí kì í ṣe àfikún ń dáhùn ìbéèrè náà láìyí ohunkóhun padà. Èkíní ń fi ohun tí fáìlì ní báyìí hàn, èkejì ń sọ ohun tí ìlànà retí fún ọ̀nà gbòógì yẹn, ẹ̀kẹta sì ń ṣe àkójọ gbogbo fáìlì lábẹ́ àpò tí àmì rẹ̀ yàtọ̀.

ls -lZ /etc/openvpn/client/office-ca.crt
matchpathcon /etc/openvpn/client/office-ca.crt
restorecon -Rn -v /etc/openvpn/client

Ohun tí a gbọ́dọ̀ gbẹ́kẹ̀lé ni ìṣe gbígbẹ, nítorí pé ó ń dárúkọ gbogbo fáìlì tí àyíká rẹ̀ yà kúrò nínú ìlànà tí ó sì ń fi ẹ̀rọ náà sílẹ̀ láìfọwọ́ kàn. Bí ẹ̀rí náà bá farahàn nínú àkójọ yẹn, o ti rí àìbáramu láàárín ohun tí ọ̀nà náà túmọ̀ sí àti ohun tí fáìlì náà sọ. Bí kò bá farahàn, àmì náà ti jẹ́ ohun tí ìlànà fẹ́ tẹ́lẹ̀, àkókò rẹ sì jẹ́ ti ibòmíràn.

Lẹ́yìn náà so ìyàtọ̀ náà pọ̀ mọ́ ìkọ̀ gidi. Àìbáramu jẹ́ ẹ̀rí àmì tí kò tọ́, kì í ṣe ẹ̀rí pé iṣẹ́ náà kùnà nítorí rẹ̀, àti àtúnṣe tí a fi sílẹ̀ láìsí ìkọ̀ tí ó bá a mu nínú àkọsílẹ̀ jẹ́ àrékọ̀rọ̀ pẹ̀lú àfikún ìgbésẹ̀.

Tún ìtẹ̀síwájú ṣe dípò kí o ṣẹ̀dá ìyàsọ́tọ̀

Fún ibi tí ó jẹ́ ìwọ̀nba, ìlànà ti ń tẹ̀síwájú ọ̀nà tẹ́lẹ̀, nítorí náà restorecon ń lò ó, iṣẹ́ sì parí. Pa ìwọ̀n mọ́ àpò tí o ń túnṣe; yíyí àmì gbogbo ẹ̀rọ fáìlì padà jẹ́ lọ́ra, ó ń dá ìdàrúdàpọ̀, ó sì ń sin àṣìṣe àkọ́kọ́ lábẹ́ ìyípadà tí ó tóbi púpọ̀.

Fún àpò àkànṣe, ìtẹ̀léra ṣe pàtàkì, yíyí rẹ̀ padà sì ń dá pàṣẹ tí ó ń sọ àṣeyọrí láìyí ohunkóhun padà. Ìtẹ̀síwájú jẹ́ ti ìlànà, yíyí àmì padà jẹ́ ti ìparí, ìṣe gbígbẹ sì jẹ́ ti ṣáájú àwọn méjèèjì. Gbígbé apá ìkẹyìn yẹn kọ́ ni ọ̀nà tí ọ̀nà tí kò tọ́ rí rárá fi ń yí àmì padà.

semanage fcontext -a -t openvpn_etc_t '/etc/openvpn/custom(/.*)?'
restorecon -Rv /etc/openvpn/custom

restorecon ń lò ìtẹ̀síwájú; kò lè ṣẹ̀dá ọ̀kan. Bí kò bá sí ìlànà tí ó ṣàpèjúwe ọ̀nà náà, kò sí ohun tí a lè tún ṣe, ìdí nìyẹn tí ìtẹ̀síwájú tí ó wà pẹ́ẹ̀kí yóò fi wà kí yíyí àmì padà tó ṣẹlẹ̀. Kọ ẹ̀yà ìṣètò wo ni ó ni ìtẹ̀síwájú yẹn, nítorí bí bẹ́ẹ̀ kọ́ gbígbé lẹ́yìn, ìmúdójúìwọ̀n àpò tàbí yíyí àmì padà yóò tún dá àbùkù náà, ẹni tí ó kàn yóò sì bẹ̀rẹ̀ láti òdo.

Ìdí tí chcon kì í ṣe ojútùú

chcon ń kọ àyíká tààrà sórí fáìlì. Ó ń ṣiṣẹ́ lẹ́sẹ̀kẹsẹ̀, ó sì jẹ́ àṣàyàn tí kò dúró pẹ́ jùlọ tí ó wà, nítorí yíyí àmì ẹ̀rọ fáìlì padà ń tún ìlànà lò, ó sì ń da àwọn ìyípadà ọwọ́ nù láìbéèrè. Fáìlì dà bí ẹni tí a tún ṣe, àtúnṣe náà sì ní ọjọ́ ìparí tí ẹnìkankan kò kọ sílẹ̀. Ohun tí o fẹ́ dípò rẹ̀ ni ìlànà tí ó ṣàpèjúwe ọ̀nà náà, kí gbogbo fáìlì tí ó dé ibẹ̀ lè gba ìtọ́jú kan náà láìṣe àfọwọ́kàn.

Èyí tí ó burú jù, ó ń kọ́ ẹ̀kọ́ tí kò tọ́: ìtẹ̀síwájú ìpìlẹ̀ ṣì kù, nítorí náà àbùkù náà yóò padà wá ní ọ̀sẹ̀ mélòó kan láìsí ohun tí ó ń tan ìmọ́lẹ̀ tí ó sì yé, àti láìsí ìrántí ọ̀nà àbáyọ̀ yẹn. Lo chcon gẹ́gẹ́ bí ìdánwò àkókò díẹ̀ nìkan láti fi ìdánimọ̀ kan múlẹ̀, lẹ́yìn náà fi ìtẹ̀síwájú tí yóò faradà yíyí àmì tí ó kàn rọ́pò rẹ̀, kí o sì ṣàyẹ̀wò pé àropò náà wà ní ibi rẹ̀ gan-an.

Nígbà tí àmì bá tọ́ tí àǹfààní sì ṣì kùnà

Bẹ̀rẹ̀ pẹ̀lú àwọn àpò òbí. A ń ṣàyẹ̀wò ẹ̀tọ́ ìkọjá lórí gbogbo ẹ̀yà ọ̀nà náà, nítorí náà ẹ̀rí tí a yí àmì tọ́ sí nínú àpò tí iṣẹ́ kò lè wọ̀ yóò ṣì jẹ́ aláìlè kà. SELinux àti ẹ̀tọ́ deede gbọ́dọ̀ gbà gbogbo ìgbésẹ̀, àtúnṣe ọ̀kan kò sì tún èkejì ṣe.

Lẹ́yìn náà ṣàyẹ̀wò ìdánimọ̀ ìlànà àti sandbox iṣẹ́ náà fúnra rẹ̀. Ẹ̀ka tí ó ní sandbox tí ó ń dín kù lè kọ̀ àǹfààní sí fáìlì tí ìlànà yóò fi tayọ̀ọ́tayọ̀ọ́ gbà, àti láti inú ìlà àkọsílẹ̀ àwọn ìdí méjèèjì dà bí ẹni kan náà. Fi ìdánilójú pé ìlànà wo ni ó ń béèrè gan-an, kì í ṣe èyí tí o ro pé ó ń béèrè.

Rántí pé àwọn ìlànà dontaudit lè dín àwọn ìṣẹ́ ìkọ̀ kù, nítorí náà àkọsílẹ̀ ìṣàyẹ̀wò tí ó ṣófo jẹ́ ẹ̀rí aláìlera kì í ṣe ẹ̀rí. Bí ìlànà bá dà bí ẹni tí ó tọ́ tí àǹfààní sì ṣì kùnà, ṣe ìwádìí kí o tó ṣẹ̀dá àfikún ẹ̀tọ́ tí ó gbòòrò, kí o sì má ṣe dènà SELinux kí àmì àìsàn náà lè pòórá. Àwọn ọ̀nà kúkúrú méjèèjì ń dá ẹ̀rọ tí ó dà bí ẹni tí ó ń ṣiṣẹ́ àti ipò ààbò tí ẹnìkankan kò lè ṣàpèjúwe. Ìwádìí kúkúrú sàn ju èyíkéyìí nínú àwọn méjèèjì lọ.