OpenVPN-eko script-security mailak 0tik 3ra, eta bakoitzak zer irekitzen duen
script-security maila bakoitzak zabaltzen du zer exekuta dezakeen profilet batek: lehenik administrazio-laguntzaileak, gero erabiltzailearen scriptak, azkenik inguruneko pasahitzak. Irakurri direktibak.
Inportatu profil bat mahaigaineko bezero batean eta lehen hutsegitea bezeroak betetzeari uko egiten dion lerro bat izaten da: ez duen exekutatuko script kako bat, edo behar bezainbestekotzat jotzen duen script-security balio bat. Zenbakia igotzeak elkarrizketa-koadroa desagerrarazten du. Baina profilet horrek zure makinan exekuta dezakeena ere zabaltzen du, eta hori arraroa da abisu bat ixteagatik ematea. Jarraitu inportazioa direktibara arte eta erabakia zehatza bihurtzen da.
Inportazio-koadrotik direktibara
Profila direktibak dituen testu-fitxategi bat da, eta bezeroak tunelik existitu aurretik irakurtzen ditu. up, down edo tls-verify bezalako direktibak kanpoko programa bat izendatzen du, eta OpenVPN hura une zehatz batean exekutatu behar du. OpenVPN hura exekutatzeko prest dagoen ala ez script-security izeneko ezarpen bereizi bat da, eta profileak normalean hura ere finkatzen du.
Beraz, abisua ez da kriptografiari edo ziurtagiriei buruzkoa. Konfigurazio-fitxategi batek bezeroari ostalarian zerbait exekutatzeko eskatzen diola da kontua, eta bezeroak bere uneko baimen-mailak eskaera hori onartzen duen egiaztatzen duela.
Fase honetan bi hutsegite desberdin berdinak dirudite. Bezeroak emango ez duen maila eskatzen duen profileak ukoa sortzen du. Bezeroak ematen duen maila eskatzen duen baina scripta falta zaion profileak exekuzio-denborako hutsegitea sortzen du, eta biak laguntza-harietan nahasten dira. Bata baimenen kontua da eta bestea ontziratzearen kontua.
Zer irekitzen duen maila bakoitzak benetan
0 mailak kanpoko programa-deiak erabat debekatzen ditu, eta hori koherentea da bere interfazea laguntzarik gabe konfiguratzen duen bezeroarentzat eta koherentea ez sistema eragilera jotzen duenarentzat. 1 mailak, lehenetsiak, interfazearen eta ibilbideen konfigurazioak behar dituen exekutagarri integratuak uzten ditu. Bi maila horietako batek ere ez du erabiltzaileak emandako ezer exekutatzen.
| Level | What OpenVPN may execute | What it exposes |
|---|---|---|
| 0 | No external programs at all | Interface and route setup must not depend on helpers |
| 1 (default) | Built-in helpers such as ip, ifconfig, route or netsh | Privileged commands the platform already ships |
| 2 | Built-in helpers plus user-defined scripts | Whatever the named script does with the client's privileges |
| 3 | Everything above, plus passwords in environment variables | Credentials visible to child processes and their logs |
2 maila muga interesgarria da, erabiltzaileak definitutako scriptak onartzen dituelako. Puntu horretatik aurrera bezeroaren pribilegioak inoiz irakurri ez duzun koderi aplikatzen zaizkio, aukeratu ez dituzun uneetan deitua, konexioaren xehetasunak dituen ingurune batekin. 3 mailak harago doa eta pasahitzak ingurune-aldagaien bidez pasatzea ahalbidetzen du, horregatik eskuliburuak seguru ez izan daitekeela deskribatzen du.
Zenbaki horietako bat ere ez da indarraren ezarpena. 3 mailako profilet batek ez du 1 mailakoak baino enkriptatze hoberik; exekuzio-azalera handiagoa du soilik, eta tunela berdina da.
Erabaki zer merezi duen profileak
Galdetu zertarako den scripta, zer maila behar duen galdetu aurretik. DNS ezarpenak bultzatzen dituen edo konektatu ondoren ibilbide bat konpontzen duen kakoa zerbait exekutatzeko arrazoi legitimoa da. Direktorio tenporalean binario ezezagun bat deitzen duen kakoa gelditzeko arrazoia da.
Scriptaren bideak scriptak adina balio du. Bide erlatiboa bezeroak erabiltzen duen direktorioaren arabera ebazten da, eta idazgarria den direktorioak behin-behineko inportazioa etengabeko exekuzio-toki bihurtzen du. Erabiltzaileak aldatu ezin duen direktorio bateko bide absolutuak dira hobetsi beharreko forma.
Scriptek bezeroaren ingurunea ere heredatzen dute, eta han bizi dira kredentzialak eta konexio-metadatuak. Ondarea horixe da 3 maila arriskutsu egiten duena bere ingurunea erregistratzen duen script batekin konbinatuta, eta horregatik scriptak gaituta dituen bezero baten diagnosi-bolketa bigarren begirada bat merezi du txartel batean itsasi aurretik. Kendu ingurunea partekatu aurretik.
grep -nE 'script-security|^up |^down |tls-verify' client.ovpnAldatu gauza bat, eta gero begiratu desmuntatzea ere
Profileak benetan script bat behar badu, aldatu maila soilik eta profilet horretarako soilik. Exekutatu bezeroa aurreko planoan irteera zehatzarekin, scriptaren beraren erroreak ikusgai izan daitezen, zerbitzu-kudeatzaileak irentsi beharrean.
openvpn --config client.ovpn --script-security 2 --verb 3
ip route show defaultProbatu bizi-ziklo osoa, ez konexioa soilik. Huts egiten duen jaitsierako kako batek ibilbideak tunel hil batera zuzenduta uzten ditu, eta horrek konektatuta dirudien baina inora iristen ez den makina sortzen du. Berriro konektatu behin eta deskonektatu behin aldaketa amaitutzat eman aurretik, eta egiaztatu bideratze-taula bakoitzaren ondoren.
Gorde jatorrizko profilaren kopia bat. Plataforma-bezeroren batek script eredu bera ezartzen ez badu, inportazioa lortu arte direktibak ezabatzeak tunelak behar zuen DNS edo ibilbide integrazioa kenda dezake, eta lortutako konexioak primeran autentifikatuko du, ezer ebazten ez duen bitartean.
Erregistratu beharreko erabakia estua da: zein script, zein bidetatik, zein mailatan onartuta, zein profiletentzat. Profilean beste guztia aldatu gabe geratzen da, eta hori berrikusle batek egiaztatu dezakeen esaldi bat da.