web-dev-qa-db-ja.com

新しいユーザーが接続し、帯域幅が接続を形成するときに自動的にスクリプトを呼び出す

これが簡単だといいのですが

次のup.shというスクリプトは、コマンドラインからrootとして実行すると完全に機能します。

ただし、新しいユーザーがOpenVPNに接続するたびにこのスクリプトを手動で呼び出して、tc（qdisc）を介して新しいユーザー（User1、User2、User3を無限大）ごとに帯域幅、遅延などを個別に制限する代わりに、スクリプトで新しいユーザーがOpenVPNに接続するたびに呼び出され、新しいユーザーが接続すると、現在のユーザーの帯域幅や遅延などに影響を与えることなく、新しいユーザーの帯域幅や遅延などを個別に形成することができます（100の場合もあれば、 1000年代）

スクリプトを次のフォルダー/etc/network/if-up.dに移動して、新しいユーザーがOpenVPNに接続したときに実行されるようにしましたが、なんらかの理由でスクリプトが呼び出されません（qdiscに変更は加えられません）。同じスクリプトで、コマンドラインから実行すると完璧に機能します。

また、スクリプトの名前をlearn-address.shに変更して、次のフォルダー/etc/openvpn/netem/learn-address.shに配置し、OpenVPNが新しいアドレスを学習したときに自動的に呼び出されるようにしましたが、これも機能しません。

Server.confファイルも次のように更新しました

スクリプトセキュリティ3

learn-address /etc/openvpn/netem/learn-address.sh

そして

スクリプトセキュリティ3

up /etc/network/if-up.d/up.sh

しかし、それもうまくいきませんでした

最後に、/etc/sudoers.tmpファイルを更新してスクリプトに権限を付与しようとしましたが、これも役に立たないようです（投稿の最後を参照）。

Ubuntu 14.04を実行しています

ご協力いただき誠にありがとうございます

コマンドラインから呼び出すと機能するup.shというスクリプトを次に示します。

#!/bin/bash  
# Full path to tc binary 

TC=$(which tc)

#
# NETWORK CONFIGURATION
# interface - name of your interface device
# interface_speed - speed in mbit of your $interface
# ip - IP address of your server, change this if you don't want to use
#      the default catch all filters.
#
interface=eth0
interface_speed=100mbit
ip=4.1.2.3 # The IP address bound to the interface

# Define the upload and download speed limit, follow units can be 
# passed as a parameter:
# kbps: Kilobytes per second
# mbps: Megabytes per second
# kbit: kilobits per second
# mbit: megabits per second
# bps: Bytes per second
download_limit=512kbit
upload_limit=10mbit    


# Filter options for limiting the intended interface.
FILTER="$TC filter add dev $interface protocol ip parent 1: prio 1 u32"

#
# This function starts the TC rules and limits the upload and download speed
# per already configured earlier.
# 

function start_tc { 
    tc qdisc show dev $interface | grep -q "qdisc pfifo_fast 0"  
    [ "$?" -gt "0" ] && tc qdisc del dev $interface root; sleep 1  

    # start the tc configuration
    $TC qdisc add dev $interface root handle 1: htb default 30
    $TC class add dev $interface parent 1: classid 1:1 htb rate $interface_speed burst 15k

    $TC class add dev $interface parent 1:1 classid 1:10 htb rate $download_limit burst 15k
    $TC class add dev $interface parent 1:1 classid 1:20 htb rate $upload_limit burst 15k

    $TC qdisc add dev $interface parent 1:10 handle 10: sfq perturb 10
    $TC qdisc add dev $interface parent 1:20 handle 20: sfq perturb 10

    # Apply the filter rules

    # Catch-all IP rules, which will set global limit on the server
    # for all IP addresses on the server. 
    $FILTER match ip dst 0.0.0.0/0 flowid 1:10
    $FILTER match ip src 0.0.0.0/0 flowid 1:20

    # If you want to limit the upload/download limit based on specific IP address
    # you can comment the above catch-all filter and uncomment these:
    #
    # $FILTER match ip dst $ip/32 flowid 1:10
    # $FILTER match ip src $ip/32 flowid 1:20
}

#
# Removes the network speed limiting and restores the default TC configuration
#
function stop_tc {
    tc qdisc show dev $interface | grep -q "qdisc pfifo_fast 0"
    [ "$?" -gt "0" ] && tc qdisc del dev $interface root
}

function show_status {
        $TC -s qdisc ls dev $interface
}
#
# Display help 
#
function display_help {
        echo "Usage: tc [OPTION]"
        echo -e "\tstart - Apply the tc limit"
        echo -e "\tstop - Remove the tc limit"
        echo -e "\tstatus - Show status"
}

# Start
if [ -z "$1" ]; then
        display_help
Elif [ "$1" == "start" ]; then
        start_tc
Elif [ "$1" == "stop" ]; then
        stop_tc
Elif [ "$1" == "status" ]; then
        show_status
fi

ここにも私が更新した次のファイルがあります：

/etc/sudoers.tmp

#
# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification    

# User privilege specification
root    ALL=(ALL:ALL) ALL
#nobody ALL=(ALL) NOPASSWD: /usr/lib/tc
nobody ALL=(ALL) NOPASSWD: /usr/lib/tc
www-data ALL=NOPASSWD: /user/lib/tc
root ALL=NOPASSWD: /user/lib/tc
root    ALL=(ALL:ALL) ALL
nobody  ALL=(ALL) NOPASSWD
nobody  ALL=(ALL) NOPASSWD: /etc/openvpn/netem/learn-address.sh
root  ALL=(ALL) NOPASSWD: /etc/openvpn/netem/learn-address.sh
www-data  ALL=(ALL) NOPASSWD: /etc/openvpn/netem/learn-address.sh
nobody  ALL=(ALL) NOPASSWD: /etc/openvpn/netem/up.sh
www-data  ALL=(ALL) NOPASSWD: /etc/openvpn/netem/up.sh
root  ALL=(ALL) NOPASSWD: /etc/openvpn/netem/up.sh
nobody  ALL=(ALL) NOPASSWD: /etc/network/if-up.d/up.sh
www-data  ALL=(ALL) NOPASSWD: /etc/network/if-up.d/up.sh
root  ALL=(ALL) NOPASSWD: /etc/network/if-up.d/up.sh  

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL

# Allow members of group Sudo to execute any command
%Sudo   ALL=(ALL:ALL) ALL

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

これがserver.confです

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-auth ta.key 0
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
Push "redirect-gateway def1 bypass-dhcp"
Push "dhcp-option DNS 8.8.8.8"
Push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
cipher AES-128-CBC
comp-lzo
#user nobody
#user openvpn
#group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify crl.pem
script-security 2
down-pre
up /etc/openvpn/tc.sh
down /etc/openvpn/tc.sh
client-connect /etc/openvpn/tc.sh
client-disconnect /etc/openvpn/tc.sh
log /var/log/openvpn.log
openvpnbandwidth
5
Server Programmer

クライアントごとのOpenVPNトラフィック制御

クライアントごとのトラフィック制御のためのシンプルなソリューションを得るには、次のようなことを行うことができます。このソリューションは、/24 VPNサブネットでのみ機能します。 Ubuntu 14.04でテスト済み。

OpenVPNサーバーの設定例：

port 1194
proto udp
dev tun
topology subnet
server 10.8.0.0 255.255.255.0
keepalive 10 60
comp-lzo
persist-key
persist-tun
log /var/log/openvpn.log
verb 3
#user openvpn
#group nogroup
script-security 2
down-pre
up /etc/openvpn/tc.sh
down /etc/openvpn/tc.sh
client-connect /etc/openvpn/tc.sh
client-disconnect /etc/openvpn/tc.sh

交通制御スクリプト/etc/openvpn/tc.sh：

#!/bin/bash
TC=$(which tc)

interface="$dev"
interface_speed="100mbit"
client_ip="$trusted_ip"
client_ip_vpn="$ifconfig_pool_remote_ip"
download_limit="512kbit"
upload_limit="10mbit"
handle=`echo "$client_ip_vpn" | cut -d. -f4`

function start_tc {
  tc qdisc show dev $interface | grep -q "qdisc pfifo_fast 0"
  [ "$?" -gt "0" ] && tc qdisc del dev $interface root; sleep 1

  $TC qdisc add dev $interface root handle 1: htb default 30
  $TC class add dev $interface parent 1: classid 1:1 htb rate $interface_speed burst 15k
  $TC class add dev $interface parent 1:1 classid 1:10 htb rate $download_limit burst 15k
  $TC class add dev $interface parent 1:1 classid 1:20 htb rate $upload_limit burst 15k
  $TC qdisc add dev $interface parent 1:10 handle 10: sfq perturb 10
  $TC qdisc add dev $interface parent 1:20 handle 20: sfq perturb 10
}

function stop_tc {
  tc qdisc show dev $interface | grep -q "qdisc pfifo_fast 0"
  [ "$?" -gt "0" ] && tc qdisc del dev $interface root
}

function filter_add {
  $TC filter add dev $interface protocol ip handle ::${handle} parent 1: prio 1 u32 match ip ${1} ${2}/32 flowid 1:${3}
}

function filter_del {
  $TC filter del dev $interface protocol ip handle 800::${handle} parent 1: prio 1 u32
}

function ip_add {
  filter_add "dst" $client_ip_vpn "10"
  filter_add "src" $client_ip_vpn "20"
}

function ip_del {
  filter_del
  filter_del
}

if [ "$script_type" == "up" ]; then
        start_tc
Elif [ "$script_type" == "down" ]; then
        stop_tc
Elif [ "$script_type" == "client-connect" ]; then
        ip_add
Elif [ "$script_type" == "client-disconnect" ]; then
        ip_del
fi

注、これはtcテスト用の非常にシンプルなスクリプトであり、OpenVPNトラフィック制御のためのより洗練されたアプローチは この答え 。

スクリプトを実行可能にします。

chmod +x /etc/openvpn/tc.sh

非特権モードでrootとしてスクリプトを実行する

OpenVPNを非特権モードで実行し、スクリプトをrootとして実行する必要がある場合は、サーバー構成で次のディレクティブを変更します。

user openvpn
group nogroup
up "/usr/bin/Sudo /etc/openvpn/tc.sh"
down "/usr/bin/Sudo /etc/openvpn/tc.sh"
client-connect "/usr/bin/Sudo /etc/openvpn/tc.sh"
client-disconnect "/usr/bin/Sudo /etc/openvpn/tc.sh"

openvpnという名前の非特権ユーザーを追加します。

useradd -s /usr/sbin/nologin -r -M -d /dev/null openvpn

コマンドvisudoで/etc/sudoersを編集し、次の行を追加します。

# User privilege specification
openvpn ALL=NOPASSWD: /etc/openvpn/tc.sh

保存して終了 Ctrl+x、 y

Rootのみがスクリプトを書き込み可能にする：

chown root:root /etc/openvpn/tc.sh
chmod 700 /etc/openvpn/tc.sh

これはセキュリティホールを開く可能性があり、ルートとしてOpenVPNを実行することに相当する可能性があることに注意してください。それは私には非常に安全に見えますが、常により良い目を持つ人々:)

トラブルシューティング

スクリプトはrootとして実行する必要があります。tc.shスクリプトの先頭に次の行を追加すると、トラブルシューティングできます。

#!/bin/bash
exec >>/tmp/ov.log 2>&1
chmod 666 /tmp/ov.log 2>/dev/null
echo
date
id
echo "PATH=$PATH"
printenv

サーバーが初めて起動するとすぐに、ログをテールできます。

tail -f /var/log/openvpn.log /tmp/ov.log
3
rda