Soll de chroot opginn oder iproute2 an de Jail kopéieren?
Eng onvollstänneg Jail feelt no dem Start, net beim Boot. Wiel tëscht dem Hardening méi lass ze maachen an d'Binären plus Bibliothéiken an déi nei Root ze kopéieren.
Den Dienst startet, e Client associéiert sech, an et erschéngt ni eng Route op der Serversäit. Oder den Daemon weigert sech ze starten an nennt eng Kommando, déi hien net konnt ausféieren. Béid Resultater follegen deenen selwechten dräi Linnen, déi meeschtens zesummen aus engem Hardening-Guide kopéiert ginn: op en onprivilegéierte Kont wechselen, d'Grupp fale loossen an d'Root vum Dateisystem änneren. Nëmmen eng vun den dräi verstoppt Dateien, an nëmmen eng vun hinnen hëlt d'Berechtegung ewech, d'Routingtabell z'änneren. Si ze trennen ass de Wee, wéi s du léiers, wéi eng Linn s du wierklech wëlls.
Wat den Jail ewech hëlt, wat den Daemon nach brauch
D'Ännerung vun der Root geschitt no dem Start, also behält den Daemon alles, wat hien schon opgemaach huet, a verléiert alles, wat hien spéider opgéif. All Hëllef, déi d'Verbindung duerno ausféiert, muss an der neier Root existéieren, zesumme mat de gedeelte Bibliothéiken, déi si lued. En Jail aus enger Konfiguratiounsdatei an engem Zertifikat huet keng vun deenen zwee.
Op en onprivilegéierte Kont ze wechselen ass eng separat Aschränkung. En Prozess, deen d'Root opginn huet, kann eventuell keng Routen änneren oder en Interface eropbréngen, och wann d'Binär direkt niewendrun läit, also musse béid Feeler getrennt diagnostizéiert ginn.
Dräi Bedéngungen entscheeden, wéi eng Korrektur s du brauchs
Déi éischt Bedéngung ass, wéi däin Build Routen installéiert. Méi nei OpenVPN Versioune konfiguréieren d'Interface an d'Routingtabell am Prozess, während méi al Päckchen an eegen Opstelle sech op extern Tools oder op up- an down-Skripte stützen. Nennt de Log eng Kommando, ass en extern Tool am Spill an den Jail verstoppt et. Weist de Log amplaz e Berechtegungsfeeler, ass de Kont de Problem.
Déi zweet ass d'Entretien. En Jail mat kopéierten Binären muss frësch gemaach ginn, wann ëmmer de Päckchen, deen se liwwert, aktualiséiert gëtt, soss léisst déi éischt Aktualiséierung en gebrochenen Tunnel hannendrun. Déi drëtt ass, ob eng bestëmmte Kontroll wierklech en chroot verlaangt; geet et bei der Fuerderung eigentlech ëm Privilegiientrennung, kann de Kontwechsel eleng duergoen.
| Signal in the log | Other side of the boundary | Repair direction |
|---|---|---|
| Command not found after startup | Binary and its libraries absent inside the new root | Populate the jail, or drop the chroot line |
| Operation not permitted | Account lost the privilege to edit routes | Keep the account privileged, or pre-create routes elsewhere |
| No such device | Jail lacks the tun device node | Create the node inside, or open it before the root change |
Wat en funktionéierenden Jail muss enthalen
En Jail, deen Kommandoen ausféiert, brauch d'Binär, all Bibliothéik, géint déi si linkt, an all Apparatsknuet, deen den Daemon spéit opmécht. Kopéier d'Deeler a test si ouni de VPN am Bild:
ldd /usr/sbin/ip
chroot /etc/openvpn/jail /sbin/ip route show
chroot /etc/openvpn/jail /sbin/ip link set tun0 upDéi éischt Kommando listet d'Ofhängegkeeten op, an et ass déi, déi d'Leit iwwersprangen. Eng kopéiert Binär, déi eng Bibliothéik net fënnt, feelt mat enger anerer Meldung wéi eng fehlend Binär, a béid gesinn aus wéi en OpenVPN-Fehler, wann een se vu Client Säit liest. D'Kommando vun Hand am Jail auszeféieren reproduzéiert de Feeler, ouni den Dienst nei ze starten.
Kopéier och d'Konfiguratioun, d'Zertifikater an eng eventuell CRL an den Jail, well eng Datei, déi den Daemon no dem Start nach eng Kéier wëll liesen, gëtt net fonnt, wann d'Root geännert huet. Schrëft op, wat s du kopéiert hues, well déi nächst Aktualiséierung vum Netzwierkpäckchen d'Originaler ersetzt an den Jail op der aler Kopie léisst.
D'Hardening amplaz verklengeren
Wann den Jail nëmmen existéiert, well en Guide et gesot huet, ass et en verteidegbaren Resultat, déi eng Linn ewech ze huelen an d'Kontaschränkungen ze behalen. Den Daemon behält seng Dateisystem-Siicht a verléiert de Problem, an den Privilegiebeweegung hëlt nach ëmmer d'Root aus dem laangliewege Prozess.
Schrëft op, wat bleift, a firwat. Eng Konfiguratioun, déi stillech eng Kontroll ouni Notiz verluer huet, ass de Wee, wéi Hardening drift, an déi nächst Audit freet, firwat d'Linn verschwonnen ass.
Biséier déi dräi Linnen, ier s du wiels
Kopéier d'Konfiguratioun, deaktivéier all dräi Direktiven a bestäteg, datt e Client sech verbënnt an datt déi erwaart Routen erschéngen. Aktivéier duerno just d'Kontolinne, an dann de chroot eleng. De Schrëtt, wou den Tunnel brécht, weist d'Grenz, an s du vermeits en Jail nei ze bauen, dee ni d'Ursaach war.
Wann et nees routéiert, fuer eng Client-Sessioun mat méi Verbositéit an lies d'Linn, déi d'Kommando oder d'fehlend Berechtegung nennt. Déi Linn ass méi wäert wéi den Timeout, deen de Client um Enn mëttelt.