OpenConnect csd-wrapper : auditez le script avant la connexion

Ajouter --csd-wrapper à un profil confie un script local à un démon qui l’exécute pendant la connexion, donc la décision qui vous attend est une revue de code, pas un bouton de préférence. L’option existe pour qu’on puisse remplacer le composant de vérification d’hôte de la passerelle, et elle attend un chemin vers un script que vous fournissez. Tout ce qui suit suppose que le responsable du déploiement a déjà dit quel contrôle de posture est requis ; si cette partie est encore ouverte, tranchez-la d’abord. Le manuel comporte quatre étapes : localiser l’étape en échec, lire le script, choisir l’identité sous laquelle il s’exécute et prouver le résultat.

Étape 1 : Localiser l’étape en échec

Le dernier message du client porte généralement sur un cookie, c’est-à-dire la fin d’une chaîne et non son début. Une connexion HTTPS, une vérification de certificat serveur, un échange d’authentification et un composant de posture se trouvent tous en amont de ce message.

Notez la version et l’adresse de connexion utilisées, puis répétez la tentative en gardant la sortie détaillée sur votre propre terminal. Lisez la première erreur qui n’est pas une nouvelle tentative, pas la dernière ligne de la transcription. Si le journal s’arrête avant que le moindre composant d’évaluation soit nommé, l’enveloppe n’est pas encore votre problème. L’ajouter à ce stade ne fait qu’élargir la surface que vous devrez défendre plus tard.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Gardez la transcription en local, car les cookies et les réponses d’authentification sont du matériel d’accès. Une trace collée dans un fil de discussion est une fuite d’identifiants même lorsque l’étape d’évaluation semble inoffensive. Partagez le texte de l’erreur et l’endroit du flux où elle est apparue, jamais la charge utile.

Étape 2 : Lire le script avant qu’il entre dans un profil

Une enveloppe ne vaut que ce que vaut la révision que vous avez examinée : figez cette révision et conservez son empreinte à côté de la note d’approbation. Les deux commandes ci-dessous vous donnent une empreinte et un contrôle de syntaxe peu coûteux avant même de lire une ligne. Elles donnent aussi à la personne suivante une référence fixe, ce qui compte quand le fichier vit hors de la gestion des paquets. Aucune des deux ne dit ce que fait le script : exécutez-les et continuez à lire.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Lisez tout le fichier avec quatre questions en tête : fait-il des appels HTTP sortants, lit-il des fichiers d’identifiants ou des variables d’environnement, écrit-il hors d’un répertoire temporaire, et une branche rapporte-t-elle une posture conforme sans rien mesurer. Ce dernier schéma est un contournement de politique avec une ligne de journal attachée. Les enveloppes copiées ont tendance à le glisser derrière une vérification d’apparence plausible. Si le script décide que l’appareil va bien avant de regarder l’appareil, arrêtez-vous là.

Cherchez aussi des charges utiles emballées, car un en-tête lisible ne prouve rien sur le reste du fichier. Télécharger un script depuis un fil de forum ne le rend pas fiable simplement parce que son nom évoque un véritable composant de vérification d’hôte. Notez qui l’a installé, d’où il vient et comment il sera mis à jour.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Étape 3 : Choisir l’identité sous laquelle l’enveloppe s’exécute

--csd-user abandonne des privilèges pendant l’exécution du programme CSD, TNCC ou HIP. Ce compte fait partie de l’arrangement d’exécution local, pas du nom d’utilisateur soumis à la passerelle.

Donnez à l’enveloppe un compte dédié sans shell interactif, sans droits sudo et sans appartenance à des groupes dont elle n’a pas besoin. Accordez l’accès en lecture au script et aux fichiers précis qu’il inspecte, puis testez l’abandon avant de toucher au profil VPN. Trouver le problème ici coûte moins cher que le trouver à l’intérieur du client.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

L’abandon de privilèges limite les dégâts qu’un mauvais script peut causer. Il ne relit pas le code, ne rend pas le rapport véridique et n’établit pas que l’administrateur de la passerelle accepte cette implémentation comme conforme à la politique des appareils.

Étape 4 : Garder le changement réversible

Sauvegardez le profil avant de le modifier et gardez l’enveloppe sous contrôle de version pour qu’un retour arrière restaure une empreinte connue plutôt que de chercher une copie. Notez le chemin du script, l’empreinte, l’utilisateur d’exécution et l’approbateur au même endroit.

Pour revenir en arrière, retirez l’option, redémarrez le client et confirmez que l’erreur d’origine réapparaît. Si la passerelle rejette encore la connexion après le retour arrière, quelque chose d’autre a aussi changé, et trouver cette différence passe avant une nouvelle tentative avec l’enveloppe. Conservez la copie précédente pendant toute la fenêtre de changement, ce qui, pour la plupart des équipes, signifie jusqu’au passage du prochain créneau de maintenance.

Après un déploiement réussi, vérifiez deux choses plutôt qu’une : le tunnel monte, et un appareil qui devrait échouer au contrôle de posture est toujours refusé. Une connexion qui fonctionne pour tout le monde ne prouve pas que l’évaluation a survécu à votre changement.

Des raccourcis qui créent un second problème

Ne faites pas rapporter un état conforme à l’assistant sans exécuter les contrôles requis, et ne remplacez pas l’identité de la plateforme pour correspondre à un autre système d’exploitation. Prétendre à une autre plateforme ne prouve pas que l’appareil réel respecte la politique. Cela vous laisse un client qui ment à chaque connexion future.

Désactiver la vérification du serveur, rejouer un cookie périmé et empiler des scripts non relus échangent tous un échec visible contre un échec invisible. Si le client installé ne peut pas terminer le flux pris en charge, demandez une alternative approuvée au lieu de plier celui que vous avez.

Le manuel d’OpenConnect documente --csd-wrapper et --csd-user séparément, et c’est l’indice qui compte : le script et l’identité sont deux décisions. Examinez-les séparément et notez les deux. Alors l’invite de connexion cesse d’être une énigme que vous résolvez en collant du code.