OpenConnect csd-wrapper: skoðaðu skriptuna fyrir innskráningu

Að bæta --csd-wrapper við prófíl afhendir staðbundna skriptu til daemons sem keyrir hana við innskráningu, svo ákvörðunin fyrir framan þig er kóðaskoðun, ekki valhnappur. Valkosturinn er til svo hægt sé að skipta út hýslisskoðunarhluta gáttarinnar, og hann tekur slóð á skriptu sem þú útvegar. Allt hér að neðan gerir ráð fyrir að eigandi uppsetningarinnar hafi þegar sagt hvaða stöðuskoðun er krafist; ef sá hluti er enn opinn, afgreiddu hann fyrst. Handbókin hefur fjögur skref: finndu stigið sem mistókst, lestu skriptuna, veldu auðkennið sem hún keyrir undir og sannaðu niðurstöðuna.

Skref 1: Finndu stigið sem mistókst

Loka skilaboð biðlarans snúast yfirleitt um vafraköku, sem er endir keðju en ekki byrjunin. HTTPS-innskráning, skoðun þjónustuvottorðs, auðkenningarskipti og stöðuhluti standa öll fyrir framan þessi skilaboð.

Skráðu útgáfuna og innskráningarslóðina sem er í notkun, endurtaktu svo tilraunina með ítarlegt úttak geymt á þínum eigin flugstöð. Lestu fyrstu villuna sem er ekki endurtilraun, ekki síðustu línu uppskriftarinnar. Ef annállinn stöðvast áður en nokkur matsþáttur er nefndur, þá er umbúðin ekki vandamálið ennþá. Að bæta henni við á þeim punkti víkkar bara yfirborðið sem þú verður að verja síðar.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Haltu uppskriftinni staðbundinni, því vafrakökur og auðkenningarsvör eru aðgengisefni. Slóð sem límd er í spjallþráð er leki á skilríkjum jafnvel þegar matsskrefið virðist meinlaust. Deildu villutextanum og punktinum í ferlinu þar sem hann birtist, aldrei farminum.

Skref 2: Lestu skriptuna áður en hún fer í prófíl

Umbúðir eru aðeins eins áreiðanlegar og útgáfan sem þú fórst yfir, svo festu þá útgáfu og geymdu hash hennar við samþykkisathugasemdina. Skipanalínurnar tvær hér að neðan gefa þér fingrafar og ódýra setningaskoðun áður en þú lest eina línu. Þær gefa næsta manni líka fasta tilvísun, sem skiptir máli þegar skráin lifir utan pakkastjórnunar. Hvorki skipunin segir hvað skriptan gerir, svo keyrðu þær og haltu áfram að lesa.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Lestu alla skrána með fjórar spurningar í huga: gerir hún útleiðar HTTP-köll, les hún skilríkjaskrár eða umhverfisbreytur, skrifar hún utan tímabundinnar möppu, og tilkynnir einhver grein staðist stöðu án þess að mæla nokkuð. Það síðasta mynstur er sniðganga stefnu með viðhengdri annálslínu. Afrituð umbúðir smygla því oft bak við skoðun sem virðist trúverðug. Ef skriptan ákveður að tækið sé í lagi áður en hún lítur á tækið, stoppaðu þar.

Skoðaðu líka pökkuð farmhleðslur, því læsileg haus staðfestir ekkert um afgang skrárinnar. Að hlaða niður skriptu af vefspjallsþræði gerir hana ekki áreiðanlega bara af því að nafnið bergmálar raunverulegan hýslisskoðunarhluta. Skráðu hver setti hana upp, hvaðan hún kom og hvernig hún verður uppfærð.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Skref 3: Veldu auðkennið sem umbúðin keyrir undir

--csd-user lækkar réttindi meðan CSD-, TNCC- eða HIP-forritið keyrir. Sá reikningur er hluti af staðbundnu keyrslufyrirkomulagi, ekki notandanafnið sem sent er til gáttarinnar.

Gefðu umbúðunum sérstakan reikning án gagnvirks skeljar, án sudo-réttinda og án hópaðildar sem hún þarf ekki. Veittu lesaðgang að skriptunni og tilteknum skrám sem hún skoðar, prófaðu svo lækkunina áður en þú snertir VPN-prófílinn. Að finna vandamálið hér er ódýrara en að finna það inni í biðlaranum.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Að lækka réttindi takmarkar skaðann sem slæm skripta getur valdið. Hún fer ekki yfir kóðann, gerir skýrsluna ekki sannlega og staðfestir ekki að stjórnandi gáttarinnar samþykki þessa útfærslu sem uppfyllingu tækjastefnu.

Skref 4: Haltu breytingunni afturkræfri

Taktu öryggisafrit af prófílnum áður en þú breytir honum, og haltu umbúðunum í útgáfustjórnun svo afturköllun endurheimti þekkt hash í stað þess að leita að afriti. Skráðu slóð skriptunnar, hashið, keyrslunotandann og samþykkjandann á einn stað.

Til að afturkalla skaltu fjarlægja valkostinn, endurræsa biðlarann og staðfesta að upprunalega villan komi aftur. Ef gáttin hafnar innskráningunni enn eftir afturköllunina hefur eitthvað annað líka breyst, og að finna þann mun kemur á undan nýrri tilraun með umbúðirnar. Haltu fyrra afritinu allan breytingagluggann, sem fyrir flest teymi þýðir þar til næsti viðhaldsgluggi er liðinn.

Eftir árangursríka útgáfu skaltu athuga tvennt í stað eins: göngin koma upp, og tæki sem ætti að falla á stöðuskoðuninni er enn hafnað. Tenging sem virkar fyrir alla er ekki sönnun þess að matið hafi lifað breytingu þína.

Skyndileiðir sem skapa annað vandamál

Ekki láta hjálparann tilkynna samræmt ástand án þess að keyra nauðsynlegu skoðanirnar, og ekki hnekkja auðkenni vettvangsins til að passa við annað stýrikerfi. Að fullyrða annað vettvang er ekki sönnun þess að raunverulega tækið uppfylli stefnu. Það skilur þig eftir með biðlara sem lýgur við hverja innskráningu í framtíðinni.

Að slökkva á þjónustuvottun, spila gamla vafraköku aftur og stafla óskoðuðum skriptum skiptir allt sýnilegri bilun fyrir ósýnilega. Ef uppsetti biðlarinn getur ekki klárað studda ferlið skaltu biðja um samþykktan valkost í stað þess að beygja þann sem þú hefur.

Handbók OpenConnect skráir --csd-wrapper og --csd-user sérstaklega, og það er vísbendingin sem skiptir máli: skriptan og auðkennið eru tvær ákvarðanir. Farðu yfir þær sérstaklega og skráðu bæði. Þá hættir innskráningarbeiðnin að vera ráðgáta sem þú leysir með því að líma kóða.