[Comm] SSH VPN tunnel, sys_tun_open: failed to open tunnel control interface: Permission denied

[Comm] SSH VPN tunnel, sys_tun_open: failed to open tunnel control interface: Permission denied

[Pavel Nakonechnyi]

Здравствуйте!

мне тут захотелось странного, но необходимого, а оно не работает.

Требуется создание VPN туннеля средствами SSH. Система ALT P8,
сегодняшняя, выступает только как клиент.

Речь идет о ключе запуска ssh клиента "-w" и всяческих опциях, в
первую очередь "Tunnel=point-to-point".

При успешной аутентификации на сервере, получаю такое сообщение в отладке:

sys_tun_open: failed to open tunnel control interface: Permission denied

Запуск идет от обычного пользователя, по разным причинам: так
спокойнее, ключи аутентификации берутся пользовательские.

Особенность моей ситуации в том, что tun интерфейс создается
предварительно руками (через sudo).

В альтернативных дистрибутивах все работает. Более того, так как
скрипт, который у меня сломался, разрабатывался на P8 в свое время, то
оно когда-то и на P8 работало.

Хотелось бы понять, что не так происходит в P8 или со мной. Может
где-то сильно принижаются права ssh по сравнению с убунтами и ему
чего-то нехватает чтобы открыть уже созданный интерфейс? Можно ли
как-то сделать tun "пользовательским"? )

Детали процесса.
- Создание туннеля
    USER=`id -un`
    GROUP=`id -gn`
    sudo ip tuntap add dev tun$TUN_NUM mode tun user $USER group $GROUP
    sudo ip link set tun$TUN_NUM up
    sudo ip addr add $HOST_TUN_IP/32 peer $ANOTHERHOST_TUN_IP dev tun$TUN_NUM
    ip a s tun$TUN_NUM

- запуск ssh клиента
    ssh -S /tmp/ssh.ctl -M -f -N \
        -o LogLevel=VERBOSE \
        -o UserKnownHostsFile=/dev/null \
        -o StrictHostKeyChecking=no \
        -o Tunnel=point-to-point \
        -o ServerAliveInterval=30 \
        -o ServerAliveCountMax=5 \
        -o TCPKeepAlive=yes \
        -w $TUN_NUM:$ANOTHERHOST_TUN_NUM \
        -p $ANOTHERHOST_SSH_PORT \
        $ANOTHERHOST_SSH_USER@$ANOTHERHOST_HOSTNAME

Это я думаю не минимум, чтобы воспроизвести, но у меня используется
именно так. Повторюсь, в другой системе работает.

Если кого-то заинтересует, приведу конечно отладочные логи. Но нужны
хотя бы зацепки.


--
WBR, Pavel