From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Fri, 19 May 2006 11:54:03 +0400 From: "Nikolay A. Fetisov" To: sisyphus@lists.altlinux.org Message-ID: <20060519115403.10450eab@naf177.naf.net.ru> In-Reply-To: <20060519061615.GA8373@lks.home> References: <20060518211902.GA23446@lks.home> <20060519090822.616866f9@naf177.naf.net.ru> <20060519061615.GA8373@lks.home> X-Mailer: Sylpheed-Claws 2.0.0cvs41 (GTK+ 2.8.17; i586-alt-linux-gnu) Mime-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Subject: Re: [sisyphus] =?utf-8?b?0KDQsNCx0L7RgtCwINGBIG9wZW52cG4g0LjQtyDRgdC4?= =?utf-8?b?0LfQuNGE0LA=?= X-BeenThere: sisyphus@lists.altlinux.org X-Mailman-Version: 2.1.7 Precedence: list Reply-To: ALT Linux Sisyphus discussion list List-Id: ALT Linux Sisyphus discussion list List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Fri, 19 May 2006 07:54:56 -0000 Archived-At: List-Archive: List-Post: Hi Konstantin! On Fri, 19 May 2006 10:16:15 +0400 Konstantin A. Lepikhov wrote: > Friday 19, at 09:08:22 AM you wrote: > > > On Fri, 19 May 2006 01:19:02 +0400 > > Konstantin A. Lepikhov wrote: > > > > > К сборке имеется ряд вопросов: > > > 1) зачем нужна пауза 1с после загрузки модуля tun? > ....... > вот что получается у меня при загрузке: > May 12 18:03:47 disaster openvpn: Adjusting environment for openvpn: > succeeded > May 12 18:03:47 disaster kernel: tun: Universal TUN/TAP device driver, 1.6 > May 12 18:03:47 disaster kernel: tun: (C) 1999-2004 Max Krasnyansky > Вот здесь выполняется этот sleep. > May 12 18:03:49 disaster openvpn[3972]: OpenVPN 2.0.6 x86_64-alt-linux-gnu > [SSL] [LZO] [EPOLL] built on Apr 10 2006 Это и далее - вывод от запустившегося openvpn. Который перешёл в фоновый режим, и выполняется параллельно с дальнейшей обработкой скриптов из init.d/. > ...... > May 12 18:03:49 disaster openvpn[3973]: NOTE: chroot will be delayed > because of --client, --pull, or --up-delay > May 12 18:03:49 disaster openvpn[3973]: NOTE: UID/GID downgrade will be > delayed because of --client, --pull, or --up- > delay А, OpenVPN запускается как клиент? Он может достаточно долго пытаться связаться с сервером. Пока не пройдёт авторизация на сервер, клиент не знает назначаемых ему IP и не может сконфигурировать сетевой интерфейс. Сбросить привилегии и уйти в chroot он сможет только после конфигурирования tun0, о чём и говорит. > May 12 18:03:49 disaster openvpn[3973]: UDPv4 link local: [undef] > May 12 18:03:49 disaster openvpn[3973]: UDPv4 link remote: > 195.18.33.162:1194 > May 12 18:03:49 disaster openvpn: openvpn startup succeeded Кстати, в этот момент openvpn запустился (т.е. прочитал файл конфигурации и всё прочее), но отнюдь не соединился с сервером. И интерфейса tun0 в этот момент ещё нет. > May 12 18:03:49 disaster sshd[4009]: Server listening on xxx.xxx.xxx.xxx port > 22. > May 12 18:03:49 disaster sshd: sshd startup succeeded > ... > May 12 18:04:01 disaster udevd-event[4444]: rename_net_if: error changing > net interface name: Invalid argument <- вот тут уже создается интерфейс Ну да, клиент авторизовался на сервере, получил от сервера локальные настройки и создал tun0. Потом сбросил привилегии и ушёл в chroot. А sshd к этому времени уже запустился. > ..... > > Я подобную проблему решал несколько прямолинейней: > > - использовал для запуска SSH не v_sshd, а стандартый sshd; > > - напрямую указывал адреса IP-интерфейсов в sshd_config через > > ListenAddress; запуская sshd на lo и внутренней сетке; > > - перенаправлял соединения с остальных интерфейсов на 127.0.0.1 > > средствами iptables. > так у меня и сделано, только в ListenAddress написаны адреса vpn > интерфейсов. А есть гарантии, что _клиент_ всегда будет получать от сервера одинаковый известный заранее IP? > > > > > Можно конечно > > > запихать openvpn в vserver, но лень и не хочется давать ей там слишком > > > крутые привилегии > > > > А какие там могут быть привилегии принципиально большие по сравнению с > > выполнением на хост-системе? Хотя, наверное, это действительно лишнее. > [root@disaster ~]# cat /etc/vservers/crash/bcapabilities > NET_ADMIN > NET_RAW > .. > некошерно. [JT] Ну да. А разве этими же возможностями openvpn не обладает (по-умолчанию, и с добавлением всего остального) на хост-системе? Работа в vserver'е может только урезать права openvpn по сравнению с работой в хост-системе. > > > - из конфигурации канала можно задать скрипт 'up', он будет вызываться > > самим openvpn после поднятия канала, но _до_ сброса привилегий. > о! вот это мне и нужно. проще там сказать service sshd condrestart и не > заморачиваться. Я-то думал, что этот скрипт вызывается после сброса > привилегий, а в сорцы было лень лезть. > IMHO правильнее всё-таки делать redirect средствами iptables. -- С уважением, Николай Фетисов