OpenConnect csd-wrapper: кіру алдында скриптті тексеріңіз

--csd-wrapper-ді профильге қосу жергілікті скриптті кіру кезінде орындайтын демонға береді, сондықтан сіздің алдыңыздағы шешім — код шолуы, ал қалау қосқышы емес. Бұл опция шлюздің хост-тексеру компонентін ауыстыру үшін бар және сіз ұсынған скриптке жол қабылдайды. Төмендегілердің барлығы орналастыру иесі қай ұстаным тексерісі қажет екенін айтып қойды деп есептейді; егер бұл бөлік әлі ашық болса, оны бірінші шешіңіз. Нұсқаулықта төрт қадам бар: сәтсіз кезеңді табу, скриптті оқу, ол орындалатын сәйкестікті таңдау және нәтижені дәлелдеу.

1-қадам: Сәтсіз кезеңді табыңыз

Клиенттің соңғы хабарламасы әдетте cookie туралы болады, бұл тізбектің соңы, басы емес. HTTPS кіру, сервер сертификатын тексеру, аутентификация алмасуы және ұстаным компоненті осы хабарламаның алдында тұр.

Қолданылып жатқан нұсқаны және кіру мекенжайын жазып алыңыз, содан кейін егжей-тегжейлі шығысты өз терминалыңызда қалдырып, әрекетті қайталаңыз. Қайта әрекет емес бірінші қатені оқыңыз, жазбаның соңғы жолын емес. Егер журнал қандай да бір бағалау компоненті аталмай тұрып тоқтаса, онда қаптама әлі сіздің мәселеңіз емес. Оны сол сәтте қосу кейін қорғауға тиіс бетті ғана кеңейтеді.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Жазбаны жергілікті сақтаңыз, өйткені cookie-лер мен аутентификация жауаптары — қатынау материалы. Чатқа қойылған із, бағалау қадамы зиянсыз көрінсе де, тіркелгі деректерінің ағып кетуі болып табылады. Қате мәтінін және ағында ол пайда болған нүктені бөлісіңіз, жүктемені ешқашан бөліспеңіз.

2-қадам: Скриптті профильге кірмей тұрып оқыңыз

Қаптама сіз қараған редакциядай ғана сенімді, сондықтан сол редакцияны бекітіп, оның хэшін мақұлдау жазбасының қасында сақтаңыз. Төмендегі екі команда бір жолды оқымай тұрып саусақ ізін және арзан синтаксис тексеруін береді. Олар келесі адамға тұрақты сілтеме де береді, бұл файл бума менеджментінен тыс өмір сүргенде маңызды. Ешбір команда скрипттің не істейтінін айтпайды, сондықтан оларды іске қосып, оқуды жалғастырыңыз.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Бүкіл файлды төрт сұрақты ойыңызда ұстап оқыңыз: ол сыртқа HTTP шақыруларын жасай ма, тіркелгі деректерінің файлдарын немесе орта айнымалыларын оқи ма, уақытша каталогтан тыс жаза ма, және қандай да бір тармақ ештеңе өлшемей өткен ұстанымды хабарлай ма. Соңғы үлгі — журнал жолы тіркелген саясатты айналып өту. Көшірілген қаптамалар оны сенімді көрінетін тексерудің артына тығып кетеді. Егер скрипт құрылғыға қарамай тұрып оны жақсы деп шешсе, сол жерде тоқтаңыз.

Қапталған жүктемелерді де тексеріңіз, өйткені оқылатын тақырып файлдың қалғаны туралы ештеңе дәлелдемейді. Скриптті форум тақырыбынан жүктеу оны сенімді етпейді, тек оның аты нақты хост-тексеру компонентіне ұқсайды. Оны кім орнатқанын, қайдан келгенін және қалай жаңартылатынын жазып алыңыз.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

3-қадам: Қаптама орындалатын сәйкестікті таңдаңыз

--csd-user CSD, TNCC немесе HIP бағдарламасы орындалғанда артықшылықтарды төмендетеді. Бұл тіркелгі жергілікті орындау тәртібінің бөлігі, шлюзге берілетін пайдаланушы аты емес.

Қаптамаға интерактивті қабықсыз, sudo құқықтарынсыз және оған қажет емес топ мүшеліктерінсіз жеке тіркелгі беріңіз. Скриптке және ол тексеретін нақты файлдарға оқу рұқсатын беріңіз, содан кейін VPN профиліне тимей тұрып артықшылықтардың төмендеуін сынаңыз. Мәселені осы жерден табу клиенттің ішінен табудан арзан.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Артықшылықтарды төмендету нашар скрипт келтіретін зиянды шектейді. Ол кодты шолмайды, есепті шындыққа айналдырмайды және шлюз әкімшісінің бұл іске асыруды құрылғы саясатын орындау деп қабылдайтынын анықтамайды.

4-қадам: Өзгерісті қайтарылатын күйде ұстаңыз

Профильді өңдеу алдында оның сақтық көшірмесін жасаңыз және қаптаманы нұсқа бақылауында ұстаңыз, сонда қайтару көшірме іздеудің орнына белгілі хэшті қалпына келтіреді. Скрипт жолын, хэшін, орындау пайдаланушысын және мақұлдаушыны бір жерге жазыңыз.

Қайтару үшін опцияны алып тастаңыз, клиентті қайта іске қосыңыз және бастапқы қатенің қайта оралғанын растаңыз. Егер қайтарғаннан кейін де шлюз кіруді қабылдамаса, тағы бірдеңе өзгерген, және сол айырмашылықты табу қаптаманы қайта сынаудан бұрын келеді. Алдыңғы көшірмені өзгеріс терезесінің бүкіл уақытында сақтаңыз, бұл көптеген командалар үшін келесі техникалық қызмет терезесі өткенше дегенді білдіреді.

Сәтті орналастырғаннан кейін бір емес, екі нәрсені тексеріңіз: туннель көтеріледі және ұстаным тексеруінен өтпеуі тиіс құрылғы әлі де қабылданбайды. Барлығына жұмыс істейтін қосылым бағалаудың сіздің өзгерісіңізден аман қалғанының дәлелі емес.

Екінші мәселе тудыратын қысқа жолдар

Көмекшіге қажетті тексерулерді орындамай сәйкес күйді хабарлауға рұқсат бермеңіз және платформа сәйкестігін басқа операциялық жүйеге сәйкестендіру үшін ауыстырмаңыз. Басқа платформаны мәлімдеу нақты құрылғының саясатқа сай екенінің дәлелі емес. Бұл сізді әрбір болашақ кіруде өтірік айтатын клиентпен қалдырады.

Сервер тексеруін өшіру, ескі cookie-ді қайта ойнату және қаралмаған скрипттерді қабаттау — бәрі көрінетін сәтсіздікті көрінбейтінімен алмастырады. Егер орнатылған клиент қолдау көрсетілетін ағынды аяқтай алмаса, қолдағыны бүгуге тырысудың орнына мақұлданған балама сұраңыз.

OpenConnect нұсқаулығы --csd-wrapper мен --csd-user-ні бөлек сипаттайды, және бұл маңызды нұсқау: скрипт пен сәйкестік — екі шешім. Оларды бөлек қарап шығып, екеуін де жазыңыз. Содан кейін кіру сұрауы кодты қою арқылы шешетін жұмбақ болудан қалады.