この問題を解決する方法

Question 1

この問題を解決する方法

サービスマネージャの下で実行されているサービスは自分自身をデーモン化しようとしないでください。不安定で危険なPIDファイルメカニズムを使用しないでください（ほとんどの一般的な場合）。これらの作業はすべて、サービス管理システムによって正しく実行されます。

stunnelしたがって、このようにコマンドラインで実行すると、プロセスを終了/停止するまでシェルが待機する必要があります。

許可されていないユーザーアカウントのスポンサーとして実行されるすべてのもの、削減されたファイルシステムアクセス設定、および実際に（オープンソケットファイル記述子を継承して使用できるプログラムの場合）、リスニングソケットを開くことはサービス管理の領域です。

これは、システム化された人々が素直にデーモンを実行する「新しいスタイル」方式と呼ぶことです。実際、これは、daemontoolsユーザーが過去20年間にデーモンを実行したと言った方法であり、IBMが過去25年間にデーモンを実行したと言った方法です。

権限のないユーザーアカウントは、nobodyファイルの所有者としてリストしてはいけません。関連サービスには所有権の許可は必要ありません。どのファイルまたはディレクトリ別の言葉したがって、権限のないユーザーアカウントは、この目的のために特別に作成されたアカウントである必要があります。

useradd --shell /usr/bin/true mysql-stunnel-d

systemdで環境を設定することはchroot()実際には簡単ではありません。なぜなら/bin/stunnel、証明書ファイルと設定ファイルに加えて、docoに従って読み取られるすべてのファイルには、/dev/zeroNSS設定システムやタイムゾーンなどのシステムエントリがたくさん含まれているからです。データベース構成が必要なのはBindReadOnlyPathsより簡単な方法ですProtect…。

構成ファイル

ソケットはソケット単位で記述されます。プロトコルstunnelを理解していませんが、LISTEN_FDSUCSPI-TCPと互換性があります。したがって、ソケットデバイスは許容ソケットを記述する必要があります。

; /etc/systemd/service/mysql-stunnel.socket
[単位]
説明=MySQL用SSLラッパー
ドキュメント=

[ソケット]
ListenStream=127.0.0.1:mysql
ListenStream=[::1]:mysql
承諾=はい
遅延なし=はい

[インストールする]
WantedBy =マルチユーザー。ターゲット

これはソケットsystemctlここで.thisを使用して有効化/無効化/開始/停止提供する、サービスユニットによって記述され、要求時に自動的に開始されます。ソケットを通して。承認ソケットなので、テンプレートサービス単位です。サービス管理を通じて行われたすべての権限の削除と設定について説明します。

; /etc/systemd/service/[Eメール保護]
[単位]
説明=MySQL用SSLラッパー
ドキュメント=

[提供する]
タイプ=シンプル
user=mysql-stunnel-d
ホームページ保護=はい
保護システム=厳格
PrivateTmp=はい
標準入力=ソケット
標準出力=ソケット
標準エラー = ジャーナル
ExecStart=/bin/stunnel /etc/stunnel/mysql-stunnel.conf

これにより、構成stunnelファイルは処理されません。どのサービス管理コンテンツそのためにしなさい:

# /etc/stunnel/mysql-stunnel.conf
証明書 = /etc/pki/tls/certs/stunnel.pem
顧客=はい
前景=はい
接続=10.0.0.3:3307

ボーナスコンテンツ

はい、それはdaemontools方式です。これら2つのユニットファイルをconvert-systemd-units次のように渡します。Noshツールセット私たちはdaemontools方式でこれを行い、適切なチェーンセットを使用してUCSPIや他のツールをロードする方法を示すrunプログラム（他のいくつかのプログラムと一緒に）を受けました。service

%システム制御変換 systemd-units ./mysql-stunnel.socket
システム単位変換: 警告: ./[Eメール保護]：必須設定：[サービス] StandardError =ログ
Convert-systemd-units: 警告: ./mysql-stunnel.socket: 未使用の設定: [unit] docs =
システム単位変換: 警告: ./[Eメール保護]：未使用設定：[service]標準エラー=ログ
システム単位変換: 警告: ./[Eメール保護]：未使用の設定：[unit]document =
%システム制御 cat./mysql-stunnel
開始: #!/bin/nosh                
start:#./mysql-stunnel.socket で生成されたスタートアップファイル
開始：事実
停止: #!/bin/nosh
stop:#./mysql-stunnel.socket で生成されたファイルを停止します。
停止：事実
実行: #!/bin/nosh
run:#./mysql-stunnel.socket で生成されたファイルを実行します。
実行：＃MySQL用SSLラッパー
実行：tcp-socket-listen 127.0.0.1 mysql
実行: tcp-socket-listen "::1" mysql
実行：制御グループ../mysql-stunnel.serviceに移動します。
実行：envuidgid --additional --mysql-stunnel-d
実行：userenv-fromenv
実行：共有のキャンセル - マウント
実行：set-mount-object --recursiveスレーブ/
実行: make-private-fs --temp --homes
実行: make-read-only-fs --os --etc
実行: set-mount-object --recursive share/
実行: setuidgid --supplemental --mysql-stunnel-d
実行：tcp-socket-accept - 遅延なし
実行: ./service
サービス: #!/bin/nosh
service:# ./ によって生成されたサービスファイル[Eメール保護]
サービス：＃MySQL用SSLラッパー
サービス：/bin/stunnel /etc/stunnel/mysql-stunnel.conf
再起動: #!/bin/sh
restart:#Restart./生成されたファイル[Eメール保護]
restart：exec false＃スクリプトパラメータを無視します。
%

追加読書

ジョナサンデボインポラード（2015）。[UNIXクライアント - サーバープログラムインターフェイスの作成]（https://jdebp.uk/FGA/UCSPI.html)。よく与えられる答えです。
ジョナサンデボインポラード（2018）。convert-systemd-units。 スナックガイド。ソフトウェア。
ジョナサンデボインポラード（2018）。誰かが実行しているデーモンを乱用しないでください。。よく与えられる答えです。
ジョナサンデボインポラード（2018）。Unixデーモンを設計する際に避けるべき間違い。よく与えられる答えです。

Answer

この問題を解決する方法

サービスマネージャの下で実行されているサービスは自分自身をデーモン化しようとしないでください。不安定で危険なPIDファイルメカニズムを使用しないでください（ほとんどの一般的な場合）。これらの作業はすべて、サービス管理システムによって正しく実行されます。

stunnelしたがって、このようにコマンドラインで実行すると、プロセスを終了/停止するまでシェルが待機する必要があります。

許可されていないユーザーアカウントのスポンサーとして実行されるすべてのもの、削減されたファイルシステムアクセス設定、および実際に（オープンソケットファイル記述子を継承して使用できるプログラムの場合）、リスニングソケットを開くことはサービス管理の領域です。

これは、システム化された人々が素直にデーモンを実行する「新しいスタイル」方式と呼ぶことです。実際、これは、daemontoolsユーザーが過去20年間にデーモンを実行したと言った方法であり、IBMが過去25年間にデーモンを実行したと言った方法です。

権限のないユーザーアカウントは、nobodyファイルの所有者としてリストしてはいけません。関連サービスには所有権の許可は必要ありません。どのファイルまたはディレクトリ別の言葉したがって、権限のないユーザーアカウントは、この目的のために特別に作成されたアカウントである必要があります。

useradd --shell /usr/bin/true mysql-stunnel-d

systemdで環境を設定することはchroot()実際には簡単ではありません。なぜなら/bin/stunnel、証明書ファイルと設定ファイルに加えて、docoに従って読み取られるすべてのファイルには、/dev/zeroNSS設定システムやタイムゾーンなどのシステムエントリがたくさん含まれているからです。データベース構成が必要なのはBindReadOnlyPathsより簡単な方法ですProtect…。

構成ファイル

ソケットはソケット単位で記述されます。プロトコルstunnelを理解していませんが、LISTEN_FDSUCSPI-TCPと互換性があります。したがって、ソケットデバイスは許容ソケットを記述する必要があります。

; /etc/systemd/service/mysql-stunnel.socket
[単位]
説明=MySQL用SSLラッパー
ドキュメント=

[ソケット]
ListenStream=127.0.0.1:mysql
ListenStream=[::1]:mysql
承諾=はい
遅延なし=はい

[インストールする]
WantedBy =マルチユーザー。ターゲット

これはソケットsystemctlここで.thisを使用して有効化/無効化/開始/停止提供する、サービスユニットによって記述され、要求時に自動的に開始されます。ソケットを通して。承認ソケットなので、テンプレートサービス単位です。サービス管理を通じて行われたすべての権限の削除と設定について説明します。

; /etc/systemd/service/[Eメール保護]
[単位]
説明=MySQL用SSLラッパー
ドキュメント=

[提供する]
タイプ=シンプル
user=mysql-stunnel-d
ホームページ保護=はい
保護システム=厳格
PrivateTmp=はい
標準入力=ソケット
標準出力=ソケット
標準エラー = ジャーナル
ExecStart=/bin/stunnel /etc/stunnel/mysql-stunnel.conf

これにより、構成stunnelファイルは処理されません。どのサービス管理コンテンツそのためにしなさい:

# /etc/stunnel/mysql-stunnel.conf
証明書 = /etc/pki/tls/certs/stunnel.pem
顧客=はい
前景=はい
接続=10.0.0.3:3307

ボーナスコンテンツ

はい、それはdaemontools方式です。これら2つのユニットファイルをconvert-systemd-units次のように渡します。Noshツールセット私たちはdaemontools方式でこれを行い、適切なチェーンセットを使用してUCSPIや他のツールをロードする方法を示すrunプログラム（他のいくつかのプログラムと一緒に）を受けました。service

%システム制御変換 systemd-units ./mysql-stunnel.socket
システム単位変換: 警告: ./[Eメール保護]：必須設定：[サービス] StandardError =ログ
Convert-systemd-units: 警告: ./mysql-stunnel.socket: 未使用の設定: [unit] docs =
システム単位変換: 警告: ./[Eメール保護]：未使用設定：[service]標準エラー=ログ
システム単位変換: 警告: ./[Eメール保護]：未使用の設定：[unit]document =
%システム制御 cat./mysql-stunnel
開始: #!/bin/nosh                
start:#./mysql-stunnel.socket で生成されたスタートアップファイル
開始：事実
停止: #!/bin/nosh
stop:#./mysql-stunnel.socket で生成されたファイルを停止します。
停止：事実
実行: #!/bin/nosh
run:#./mysql-stunnel.socket で生成されたファイルを実行します。
実行：＃MySQL用SSLラッパー
実行：tcp-socket-listen 127.0.0.1 mysql
実行: tcp-socket-listen "::1" mysql
実行：制御グループ../mysql-stunnel.serviceに移動します。
実行：envuidgid --additional --mysql-stunnel-d
実行：userenv-fromenv
実行：共有のキャンセル - マウント
実行：set-mount-object --recursiveスレーブ/
実行: make-private-fs --temp --homes
実行: make-read-only-fs --os --etc
実行: set-mount-object --recursive share/
実行: setuidgid --supplemental --mysql-stunnel-d
実行：tcp-socket-accept - 遅延なし
実行: ./service
サービス: #!/bin/nosh
service:# ./ によって生成されたサービスファイル[Eメール保護]
サービス：＃MySQL用SSLラッパー
サービス：/bin/stunnel /etc/stunnel/mysql-stunnel.conf
再起動: #!/bin/sh
restart:#Restart./生成されたファイル[Eメール保護]
restart：exec false＃スクリプトパラメータを無視します。
%

追加読書

ジョナサンデボインポラード（2015）。[UNIXクライアント - サーバープログラムインターフェイスの作成]（https://jdebp.uk/FGA/UCSPI.html)。よく与えられる答えです。
ジョナサンデボインポラード（2018）。convert-systemd-units。 スナックガイド。ソフトウェア。
ジョナサンデボインポラード（2018）。誰かが実行しているデーモンを乱用しないでください。。よく与えられる答えです。
ジョナサンデボインポラード（2018）。Unixデーモンを設計する際に避けるべき間違い。よく与えられる答えです。

Question 2

タイプミスがあります：

ExecStartPre=-/user/bin/chown nobody:nobody /var/run/stunnel

おそらくあなたは/usr/bin/chown「いいえ」と言うでしょう/user/bin/chown。

また、/var/runシンボリックリンクの場合は、/runディレクトリ生成コマンドを次のように置き換えることができます。RuntimeDirectory=

RuntimeDirectory=stunnel

Answer

タイプミスがあります：

ExecStartPre=-/user/bin/chown nobody:nobody /var/run/stunnel

おそらくあなたは/usr/bin/chown「いいえ」と言うでしょう/user/bin/chown。

また、/var/runシンボリックリンクの場合は、/runディレクトリ生成コマンドを次のように置き換えることができます。RuntimeDirectory=

RuntimeDirectory=stunnel

Question 3

連続トンネル

stunnelはUDPではなくTCPを使用するSSL接続を処理するため、接続が長く続く必要があると仮定するのは無理ではありません。具体的には、Stunnelを使用する正しいアプローチの基準点です。

ただし、プロセスの開始コストがプロセスの寿命に比べて高い場合、システムソケットに接続を受信させることはほとんど意味がありません。比較すると、Webサーバーがすべての着信TCP接続に対して必ず新しいインスタンスを起動したくありません。特に軽量スレッドがオプションの場合はそうです。

同様に、stunnel が各接続に対して開始されず、継続的なプロセスとして実行されている場合は、いくつかの最適化を利用できます。また、各接続ごとに新しいプロセスを開始しませんが、私が理解しているように、stunnel（コンパイルオプションによって異なります）はインスタンス化にはるかに安価なスレッドを使用でき、一部のワークロード分散に対する潜在的なディスクヒットを防ぐことができます。

それでは、@JdeBPの答えが提供するすべての素晴らしいアドバイス（PIDファイルの防止、「誰も」を乱用しない、フォークしない）を聞きながら、stunnelを継続的なサービスとして実行するにはどうすればよいですか？

暗号化をサポートしていないクライアントを使用してSSLで保護されたサービスに接続する方法の基本は次のとおりです。ユースケースが異なる場合は、調整が必要な場合があります。

;/etc/stunneld.conf

client=yes 
;presuming that the upstream is ssl protected and the downstream is not

foreground=yes
;no forking. Use `quiet` to get less noisy logs

pid=
;no PID File, note that it must be blank to avoid PID creation

[my-upstream-service]
accept=x.x.x.x:pppp
;optional address, and mandatory port to listen on - can be a hostname instead of an address

connect=x.x.x.x:pppp 
;upstream ssl protected service

CApath=/etc/ssl/certs
;may be different in your distribution

verifyChain=yes
checkHost=example.com
;were required in my case as the ssl cert was specific to a hostname. Note that without the verification you're still vulnerable to MITM attacks.

;/etc/systemd/system/stunneld.service (location may be different in your distro)

[Unit]
Description=Stunnel Service
Documentation=

[Install]
WantedBy=multi-user.target

[Service]
Type=simple
User=stunnel4
;my distro happened to provide a stunnel user as part of the package. YMMV
ProtectHome=yes
ProtectSystem=strict
PrivateTmp=yes
StandardError=journal
ExecStart=/usr/bin/stunnel /etc/stunneld.conf

これらの構成により、stunnel を継続的なタスクとして実行することができます。これは、いくつかの大きな接続の代わりに複数の小さな接続を実行するコンテキストに関連する最適化の利点を提供します。

Answer

連続トンネル

stunnelはUDPではなくTCPを使用するSSL接続を処理するため、接続が長く続く必要があると仮定するのは無理ではありません。具体的には、Stunnelを使用する正しいアプローチの基準点です。

ただし、プロセスの開始コストがプロセスの寿命に比べて高い場合、システムソケットに接続を受信させることはほとんど意味がありません。比較すると、Webサーバーがすべての着信TCP接続に対して必ず新しいインスタンスを起動したくありません。特に軽量スレッドがオプションの場合はそうです。

同様に、stunnel が各接続に対して開始されず、継続的なプロセスとして実行されている場合は、いくつかの最適化を利用できます。また、各接続ごとに新しいプロセスを開始しませんが、私が理解しているように、stunnel（コンパイルオプションによって異なります）はインスタンス化にはるかに安価なスレッドを使用でき、一部のワークロード分散に対する潜在的なディスクヒットを防ぐことができます。

それでは、@JdeBPの答えが提供するすべての素晴らしいアドバイス（PIDファイルの防止、「誰も」を乱用しない、フォークしない）を聞きながら、stunnelを継続的なサービスとして実行するにはどうすればよいですか？

暗号化をサポートしていないクライアントを使用してSSLで保護されたサービスに接続する方法の基本は次のとおりです。ユースケースが異なる場合は、調整が必要な場合があります。

;/etc/stunneld.conf

client=yes 
;presuming that the upstream is ssl protected and the downstream is not

foreground=yes
;no forking. Use `quiet` to get less noisy logs

pid=
;no PID File, note that it must be blank to avoid PID creation

[my-upstream-service]
accept=x.x.x.x:pppp
;optional address, and mandatory port to listen on - can be a hostname instead of an address

connect=x.x.x.x:pppp 
;upstream ssl protected service

CApath=/etc/ssl/certs
;may be different in your distribution

verifyChain=yes
checkHost=example.com
;were required in my case as the ssl cert was specific to a hostname. Note that without the verification you're still vulnerable to MITM attacks.

;/etc/systemd/system/stunneld.service (location may be different in your distro)

[Unit]
Description=Stunnel Service
Documentation=

[Install]
WantedBy=multi-user.target

[Service]
Type=simple
User=stunnel4
;my distro happened to provide a stunnel user as part of the package. YMMV
ProtectHome=yes
ProtectSystem=strict
PrivateTmp=yes
StandardError=journal
ExecStart=/usr/bin/stunnel /etc/stunneld.conf

これらの構成により、stunnel を継続的なタスクとして実行することができます。これは、いくつかの大きな接続の代わりに複数の小さな接続を実行するコンテキストに関連する最適化の利点を提供します。

Question 4

私の場合、設定ファイルはありません。

これを行うには、次の設定ファイルがあります。

client = yes

[stunnel]
accept = 127.0.0.1:41194
connect = vpnserverhost:port

次のように配置/etc/stunnel/stunnel.conf

Answer

私の場合、設定ファイルはありません。

これを行うには、次の設定ファイルがあります。

client = yes

[stunnel]
accept = 127.0.0.1:41194
connect = vpnserverhost:port

次のように配置/etc/stunnel/stunnel.conf

この問題を解決する方法

答え1

この問題を解決する方法

構成ファイル

ボーナスコンテンツ

追加読書

答え2

答え3

連続トンネル

答え4

関連情報