OpenConnect csd-wrapper: ಲಾಗಿನ್ ಮೊದಲು ಸ್ಕ್ರಿಪ್ಟ್ ಆಡಿಟ್ ಮಾಡಿ

ಪ್ರೊಫೈಲ್ಗೆ --csd-wrapper ಸೇರಿಸುವುದು ಸ್ಥಳೀಯ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಲಾಗಿನ್ ಸಮಯದಲ್ಲಿ ಚಲಾಯಿಸುವ ಡೀಮನ್ಗೆ ನೀಡುತ್ತದೆ, ಆದ್ದರಿಂದ ನಿಮ್ಮ ಮುಂದಿನ ನಿರ್ಧಾರ ಕೋಡ್ ಪರಿಶೀಲನೆ, ಆದ್ಯತೆಯ ಟಾಗಲ್ ಅಲ್ಲ. ಈ ಆಯ್ಕೆ ಗೇಟ್ವೇಯ ಹೋಸ್ಟ್-ಪರಿಶೀಲನಾ ಘಟಕವನ್ನು ಬದಲಾಯಿಸಲು ಇದೆ, ಮತ್ತು ನೀವು ಒದಗಿಸುವ ಸ್ಕ್ರಿಪ್ಟ್ನ ಪಥವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ. ಕೆಳಗಿನ ಎಲ್ಲವೂ ನಿಯೋಜನೆಯ ಮಾಲೀಕರು ಯಾವ ಪೋಸ್ಚರ್ ಪರಿಶೀಲನೆ ಬೇಕು ಎಂದು ಈಗಾಗಲೇ ಹೇಳಿದ್ದಾರೆ ಎಂದು ಊಹಿಸುತ್ತದೆ; ಆ ಭಾಗ ಇನ್ನೂ ತೆರೆದಿದ್ದರೆ, ಮೊದಲು ಅದನ್ನು ಬಗೆಹರಿಸಿ. ಸೂಚನಾ ಪುಸ್ತಕದಲ್ಲಿ ನಾಲ್ಕು ಹಂತಗಳಿವೆ: ವಿಫಲವಾದ ಹಂತವನ್ನು ಕಂಡುಹಿಡಿಯಿರಿ, ಸ್ಕ್ರಿಪ್ಟ್ ಓದಿ, ಅದು ಯಾವ ಗುರುತಿನ ಅಡಿಯಲ್ಲಿ ಚಲಿಸುತ್ತದೆ ಎಂದು ಆರಿಸಿ, ಮತ್ತು ಫಲಿತಾಂಶವನ್ನು ಸಾಬೀತುಪಡಿಸಿ.

ಹಂತ 1: ವಿಫಲವಾದ ಹಂತವನ್ನು ಕಂಡುಹಿಡಿಯಿರಿ

ಕ್ಲೈಂಟ್ನ ಕೊನೆಯ ಸಂದೇಶ ಸಾಮಾನ್ಯವಾಗಿ ಕುಕಿ ಬಗ್ಗೆ ಇರುತ್ತದೆ, ಅದು ಸರಪಳಿಯ ಅಂತ್ಯ, ಆರಂಭ ಅಲ್ಲ. HTTPS ಲಾಗಿನ್, ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆ, ದೃಢೀಕರಣ ವಿನಿಮಯ ಮತ್ತು ಪೋಸ್ಚರ್ ಘಟಕ ಎಲ್ಲವೂ ಆ ಸಂದೇಶದ ಮುಂದೆ ನಿಲ್ಲುತ್ತವೆ.

ಬಳಸುತ್ತಿರುವ ಆವೃತ್ತಿ ಮತ್ತು ಲಾಗಿನ್ ವಿಳಾಸವನ್ನು ದಾಖಲಿಸಿ, ನಂತರ ವಿಸ್ತೃತ ಔಟ್ಪುಟ್ ನಿಮ್ಮ ಸ್ವಂತ ಟರ್ಮಿನಲ್ನಲ್ಲಿ ಉಳಿಸಿಕೊಂಡು ಪ್ರಯತ್ನವನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಮರುಪ್ರಯತ್ನವಲ್ಲದ ಮೊದಲ ದೋಷವನ್ನು ಓದಿ, ಟ್ರಾನ್ಸ್ಕ್ರಿಪ್ಟ್ನ ಕೊನೆಯ ಸಾಲನ್ನು ಅಲ್ಲ. ಯಾವುದೇ ಮೌಲ್ಯಮಾಪನ ಘಟಕದ ಹೆಸರು ಬರುವ ಮೊದಲೇ ಲಾಗ್ ನಿಂತರೆ, ರ್ಯಾಪರ್ ಇನ್ನೂ ನಿಮ್ಮ ಸಮಸ್ಯೆ ಅಲ್ಲ. ಆ ಸಮಯದಲ್ಲಿ ಅದನ್ನು ಸೇರಿಸುವುದು ನಂತರ ನೀವು ಸಮರ್ಥಿಸಬೇಕಾದ ಮೇಲ್ಮೈಯನ್ನು ಅಗಲಗೊಳಿಸುತ್ತದೆ ಅಷ್ಟೇ.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

ಟ್ರಾನ್ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಕುಕಿಗಳು ಮತ್ತು ದೃಢೀಕರಣ ಪ್ರತಿಕ್ರಿಯೆಗಳು ಪ್ರವೇಶ ಸಾಮಗ್ರಿ. ಚಾಟ್ ಥ್ರೆಡ್ಗೆ ಅಂಟಿಸಿದ ಜಾಡು, ಮೌಲ್ಯಮಾಪನ ಹಂತ ಹಾನಿಕರವಲ್ಲದಂತೆ ಕಂಡರೂ ರುಜುವಾತು ಸೋರಿಕೆ. ದೋಷ ಪಠ್ಯ ಮತ್ತು ಹರಿವಿನಲ್ಲಿ ಅದು ಕಾಣಿಸಿದ ಬಿಂದುವನ್ನು ಹಂಚಿಕೊಳ್ಳಿ, ಪೇಲೋಡ್ ಎಂದಿಗೂ ಅಲ್ಲ.

ಹಂತ 2: ಸ್ಕ್ರಿಪ್ಟ್ ಪ್ರೊಫೈಲ್ ಪ್ರವೇಶಿಸುವ ಮೊದಲು ಓದಿ

ರ್ಯಾಪರ್ ನೀವು ಪರಿಶೀಲಿಸಿದ ಮರುಪರಿಷ್ಕರಣೆಯಷ್ಟೇ ವಿಶ್ವಾಸಾರ್ಹ, ಆದ್ದರಿಂದ ಆ ಮರುಪರಿಷ್ಕರಣೆಯನ್ನು ಪಿನ್ ಮಾಡಿ ಮತ್ತು ಅದರ ಹ್ಯಾಶ್ ಅನ್ನು ಅನುಮೋದನಾ ಟಿಪ್ಪಣಿಯ ಪಕ್ಕದಲ್ಲಿ ಸಂಗ್ರಹಿಸಿ. ಕೆಳಗಿನ ಎರಡು ಆಜ್ಞೆಗಳು ಒಂದು ಸಾಲನ್ನು ಓದುವ ಮೊದಲೇ ನಿಮಗೆ ಬೆರಳಚ್ಚು ಮತ್ತು ಅಗ್ಗದ ವಾಕ್ಯರಚನೆ ಪರಿಶೀಲನೆ ನೀಡುತ್ತವೆ. ಅವು ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಸ್ಥಿರ ಉಲ್ಲೇಖವನ್ನೂ ನೀಡುತ್ತವೆ, ಫೈಲ್ ಪ್ಯಾಕೇಜ್ ನಿರ್ವಹಣೆಯ ಹೊರಗೆ ಇದ್ದಾಗ ಇದು ಮುಖ್ಯ. ಯಾವ ಆಜ್ಞೆಯೂ ಸ್ಕ್ರಿಪ್ಟ್ ಏನು ಮಾಡುತ್ತದೆ ಎಂದು ಹೇಳುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಅವುಗಳನ್ನು ಚಲಾಯಿಸಿ ಮತ್ತು ಓದುವುದನ್ನು ಮುಂದುವರಿಸಿ.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

ಇಡೀ ಫೈಲ್ ಅನ್ನು ನಾಲ್ಕು ಪ್ರಶ್ನೆಗಳನ್ನು ಮನಸ್ಸಿನಲ್ಲಿಟ್ಟುಕೊಂಡು ಓದಿ: ಅದು ಹೊರಹೋಗುವ HTTP ಕರೆಗಳನ್ನು ಮಾಡುತ್ತದೆಯೇ, ರುಜುವಾತು ಫೈಲ್ಗಳನ್ನು ಅಥವಾ ಪರಿಸರ ಚರಗಳನ್ನು ಓದುತ್ತದೆಯೇ, ತಾತ್ಕಾಲಿಕ ಡೈರೆಕ್ಟರಿಯ ಹೊರಗೆ ಬರೆಯುತ್ತದೆಯೇ, ಮತ್ತು ಯಾವುದೇ ಶಾಖೆ ಏನನ್ನೂ ಅಳೆಯದೆ ಉತ್ತೀರ್ಣ ಪೋಸ್ಚರ್ ವರದಿ ಮಾಡುತ್ತದೆಯೇ. ಆ ಕೊನೆಯ ಮಾದರಿ ಲಾಗ್ ಸಾಲಿನೊಂದಿಗೆ ಜೋಡಿಸಲಾದ ನೀತಿ ಬೈಪಾಸ್. ನಕಲಿಸಿದ ರ್ಯಾಪರ್ಗಳು ಅದನ್ನು ನಂಬಲರ್ಹವಾಗಿ ಕಾಣುವ ಪರಿಶೀಲನೆಯ ಹಿಂದೆ ಕಳ್ಳಸಾಗಣೆ ಮಾಡುತ್ತವೆ. ಸ್ಕ್ರಿಪ್ಟ್ ಸಾಧನವನ್ನು ನೋಡುವ ಮೊದಲೇ ಸಾಧನ ಉತ್ತಮ ಎಂದು ನಿರ್ಧರಿಸಿದರೆ, ಅಲ್ಲೇ ನಿಲ್ಲಿಸಿ.

ಪ್ಯಾಕ್ ಮಾಡಿದ ಪೇಲೋಡ್ಗಳನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಓದಬಹುದಾದ ಹೆಡರ್ ಫೈಲ್ನ ಉಳಿದ ಭಾಗದ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಫೋರಂ ಥ್ರೆಡ್ನಿಂದ ಸ್ಕ್ರಿಪ್ಟ್ ಡೌನ್ಲೋಡ್ ಮಾಡುವುದು ಅದನ್ನು ವಿಶ್ವಾಸಾರ್ಹವಾಗಿಸುವುದಿಲ್ಲ, ಅದರ ಹೆಸರು ನಿಜವಾದ ಹೋಸ್ಟ್-ಪರಿಶೀಲನಾ ಘಟಕವನ್ನು ಹೋಲುತ್ತದೆ ಎಂಬ ಕಾರಣಕ್ಕೆ ಮಾತ್ರ. ಯಾರು ಅದನ್ನು ಸ್ಥಾಪಿಸಿದರು, ಎಲ್ಲಿಂದ ಬಂತು ಮತ್ತು ಹೇಗೆ ನವೀಕರಿಸಲಾಗುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

ಹಂತ 3: ರ್ಯಾಪರ್ ಯಾವ ಗುರುತಿನ ಅಡಿಯಲ್ಲಿ ಚಲಿಸುತ್ತದೆ ಎಂದು ಆರಿಸಿ

--csd-user CSD, TNCC ಅಥವಾ HIP ಕಾರ್ಯಕ್ರಮ ಚಲಿಸುವಾಗ ಸವಲತ್ತುಗಳನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ. ಆ ಖಾತೆ ಸ್ಥಳೀಯ ಕಾರ್ಯಗತಗೊಳಿಸುವ ವ್ಯವಸ್ಥೆಯ ಭಾಗ, ಗೇಟ್ವೇಗೆ ಸಲ್ಲಿಸುವ ಬಳಕೆದಾರ ಹೆಸರಲ್ಲ.

ರ್ಯಾಪರ್ಗೆ ಸಂವಾದಾತ್ಮಕ ಶೆಲ್ ಇಲ್ಲದ, sudo ಹಕ್ಕುಗಳಿಲ್ಲದ ಮತ್ತು ಅದಕ್ಕೆ ಬೇಕಿಲ್ಲದ ಗುಂಪು ಸದಸ್ಯತ್ವಗಳಿಲ್ಲದ ಮೀಸಲು ಖಾತೆ ನೀಡಿ. ಸ್ಕ್ರಿಪ್ಟ್ ಮತ್ತು ಅದು ಪರಿಶೀಲಿಸುವ ನಿರ್ದಿಷ್ಟ ಫೈಲ್ಗಳಿಗೆ ಓದುವ ಪ್ರವೇಶ ನೀಡಿ, ನಂತರ VPN ಪ್ರೊಫೈಲ್ ಮುಟ್ಟುವ ಮೊದಲು ಸವಲತ್ತು ಕಡಿತವನ್ನು ಪರೀಕ್ಷಿಸಿ. ಸಮಸ್ಯೆಯನ್ನು ಇಲ್ಲಿ ಕಂಡುಹಿಡಿಯುವುದು ಕ್ಲೈಂಟ್ ಒಳಗೆ ಕಂಡುಹಿಡಿಯುವುದಕ್ಕಿಂತ ಅಗ್ಗ.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

ಸವಲತ್ತುಗಳನ್ನು ಕಡಿಮೆ ಮಾಡುವುದು ಕೆಟ್ಟ ಸ್ಕ್ರಿಪ್ಟ್ ಮಾಡಬಹುದಾದ ಹಾನಿಯನ್ನು ಮಿತಿಗೊಳಿಸುತ್ತದೆ. ಅದು ಕೋಡ್ ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ, ವರದಿಯನ್ನು ಸತ್ಯವಾಗಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಗೇಟ್ವೇ ನಿರ್ವಾಹಕರು ಈ ಅನುಷ್ಠಾನವನ್ನು ಸಾಧನ ನೀತಿ ಪಾಲನೆ ಎಂದು ಒಪ್ಪುತ್ತಾರೆ ಎಂದು ಸ್ಥಾಪಿಸುವುದಿಲ್ಲ.

ಹಂತ 4: ಬದಲಾವಣೆಯನ್ನು ಹಿಂತಿರುಗಿಸಬಹುದಾದಂತೆ ಇರಿಸಿ

ಸಂಪಾದಿಸುವ ಮೊದಲು ಪ್ರೊಫೈಲ್ ಬ್ಯಾಕಪ್ ಮಾಡಿ, ಮತ್ತು ರ್ಯಾಪರ್ ಅನ್ನು ಆವೃತ್ತಿ ನಿಯಂತ್ರಣದಲ್ಲಿ ಇರಿಸಿ ಇದರಿಂದ ರೋಲ್ಬ್ಯಾಕ್ ಪ್ರತಿ ಹುಡುಕುವ ಬದಲು ತಿಳಿದ ಹ್ಯಾಶ್ ಅನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ. ಸ್ಕ್ರಿಪ್ಟ್ ಪಥ, ಹ್ಯಾಶ್, ಕಾರ್ಯಗತಗೊಳಿಸುವ ಬಳಕೆದಾರ ಮತ್ತು ಅನುಮೋದಿಸಿದವರನ್ನು ಒಂದೇ ಸ್ಥಳದಲ್ಲಿ ಬರೆಯಿರಿ.

ಹಿಂತಿರುಗಿಸಲು ಆಯ್ಕೆಯನ್ನು ತೆಗೆದುಹಾಕಿ, ಕ್ಲೈಂಟ್ ಅನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿ ಮತ್ತು ಮೂಲ ದೋಷ ಮರಳುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ರೋಲ್ಬ್ಯಾಕ್ ನಂತರವೂ ಗೇಟ್ವೇ ಲಾಗಿನ್ ತಿರಸ್ಕರಿಸಿದರೆ, ಬೇರೆ ಏನೋ ಕೂಡ ಬದಲಾಗಿದೆ, ಮತ್ತು ಆ ವ್ಯತ್ಯಾಸವನ್ನು ಕಂಡುಹಿಡಿಯುವುದು ರ್ಯಾಪರ್ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುವ ಮೊದಲು ಬರುತ್ತದೆ. ಬದಲಾವಣೆ ವಿಂಡೋ ಉದ್ದಕ್ಕೂ ಹಿಂದಿನ ಪ್ರತಿಯನ್ನು ಇರಿಸಿ, ಬಹುತೇಕ ತಂಡಗಳಿಗೆ ಇದು ಮುಂದಿನ ನಿರ್ವಹಣಾ ಸ್ಲಾಟ್ ಕಳೆದ ನಂತರ ಎಂದರ್ಥ.

ಯಶಸ್ವಿ ನಿಯೋಜನೆಯ ನಂತರ ಒಂದಲ್ಲ ಎರಡನ್ನು ಪರಿಶೀಲಿಸಿ: ಸುರಂಗ ಏಳುತ್ತದೆ, ಮತ್ತು ಪೋಸ್ಚರ್ ಪರಿಶೀಲನೆಯಲ್ಲಿ ವಿಫಲವಾಗಬೇಕಾದ ಸಾಧನ ಇನ್ನೂ ತಿರಸ್ಕೃತವಾಗುತ್ತದೆ. ಎಲ್ಲರಿಗೂ ಕೆಲಸ ಮಾಡುವ ಸಂಪರ್ಕವು ಮೌಲ್ಯಮಾಪನ ನಿಮ್ಮ ಬದಲಾವಣೆಯಿಂದ ಬದುಕಿದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷ್ಯವಲ್ಲ.

ಎರಡನೇ ಸಮಸ್ಯೆ ಸೃಷ್ಟಿಸುವ ಶಾರ್ಟ್ಕಟ್ಗಳು

ಅಗತ್ಯ ಪರಿಶೀಲನೆಗಳನ್ನು ಚಲಾಯಿಸದೆ ಸಹಾಯಕವು ಅನುಸರಣಾ ಸ್ಥಿತಿಯನ್ನು ವರದಿ ಮಾಡಲು ಬಿಡಬೇಡಿ, ಮತ್ತು ಇನ್ನೊಂದು ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂಗೆ ಹೊಂದಿಸಲು ಪ್ಲಾಟ್ಫಾರ್ಮ್ ಗುರುತನ್ನು ಅತಿಕ್ರಮಿಸಬೇಡಿ. ಬೇರೆ ಪ್ಲಾಟ್ಫಾರ್ಮ್ ಎಂದು ಹೇಳಿಕೊಳ್ಳುವುದು ನಿಜವಾದ ಸಾಧನ ನೀತಿ ಪಾಲಿಸುತ್ತದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷ್ಯವಲ್ಲ. ಇದು ಪ್ರತಿ ಮುಂದಿನ ಲಾಗಿನ್ನಲ್ಲಿ ಸುಳ್ಳು ಹೇಳುವ ಕ್ಲೈಂಟ್ ಅನ್ನು ನಿಮಗೆ ಬಿಡುತ್ತದೆ.

ಸರ್ವರ್ ಪರಿಶೀಲನೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು, ಹಳೆಯ ಕುಕಿ ಮರುಪ್ಲೇ ಮಾಡುವುದು ಮತ್ತು ಪರಿಶೀಲಿಸದ ಸ್ಕ್ರಿಪ್ಟ್ಗಳನ್ನು ಜೋಡಿಸುವುದು ಎಲ್ಲವೂ ಗೋಚರ ವೈಫಲ್ಯವನ್ನು ಅಗೋಚರದೊಂದಿಗೆ ವಿನಿಮಯ ಮಾಡುತ್ತವೆ. ಸ್ಥಾಪಿತ ಕ್ಲೈಂಟ್ ಬೆಂಬಲಿತ ಹರಿವನ್ನು ಪೂರ್ಣಗೊಳಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ, ನಿಮ್ಮಲ್ಲಿರುವದನ್ನು ಬಗ್ಗಿಸುವ ಬದಲು ಅನುಮೋದಿತ ಪರ್ಯಾಯವನ್ನು ಕೇಳಿ.

OpenConnect ಕೈಪಿಡಿ --csd-wrapper ಮತ್ತು --csd-user ಅನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ಇದೇ ಮುಖ್ಯ ಸುಳಿವು: ಸ್ಕ್ರಿಪ್ಟ್ ಮತ್ತು ಗುರುತು ಎರಡು ನಿರ್ಧಾರಗಳು. ಅವುಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸಿ ಮತ್ತು ಎರಡನ್ನೂ ಬರೆಯಿರಿ. ನಂತರ ಲಾಗಿನ್ ಪ್ರಾಂಪ್ಟ್ ಕೋಡ್ ಅಂಟಿಸಿ ಪರಿಹರಿಸುವ ಒಗಟು ಆಗುವುದಿಲ್ಲ.