Is-soket tal-amministrazzjoni ta’ OpenVPN: kanal ta’ kontroll, mhux metrika

Itlob status mill-interface tal-amministrazzjoni darba u jibda jidher bħal port tal-istatus. Iżda mhuwiex. Ladarba klijent ikun ammess, jista’ joħroġ l-ordnijiet ta’ kontroll tal-protokoll, u l-kont li jmexxi dak il-klijent jiret kull ma dawk l-ordnijiet jistgħu jagħmlu lid-daemon. Li tittrattah bħala fluss ta’ qari biss hija l-iżball li jbiddel integrazzjoni ta’ monitoraġġ f’console mingħajr awtentikazzjoni.

It-twemmin, u x’jiswa

It-twemmin huwa li s-semmiegħ tal-amministrazzjoni huwa ekwivalenti għal punt tat-tmiem tal-metrika: qabbad kollettur, aqra l-counts, kompli. Fil-fatt il-kollettur jiftaħ sessjoni b’kapaċitajiet ta’ kontroll, u kull suppożizzjoni oħra li għamilt dwar id-deployment issa tiddependi fuq li dak il-kollettur iġib ruħu tajjeb.

Xejn fl-interface ma jirreklama mod ta’ qari biss. M’hemm l-ebda rwol ta’ osservatur x’tagħżel, u isem tal-utent fil-konfigurazzjoni ma joħloqx wieħed.

X’iżomm fil-fatt klijent ammess

Id-daemon tal-komunità jaċċetta klijent tal-amministrazzjoni attiv wieħed biss kull darba. Dak is-slot wieħed ifisser li GUI, skript u aġent ta’ monitoraġġ ma jistgħux kollha jikkonnettjaw; it-tieni jistenna jew ifalli waqt li l-ewwel iżomm is-sessjoni. Jekk id-disinn tiegħek jassumi qarrejja fl-istess ħin, huwa diġà żbaljat.

Fejn biżżejjed stampa perjodika, l-output tal-fajl tal-istatus jagħtik l-istess numri mingħajr sessjoni live. Li tikteb dak il-fajl f’intervalli u taqrah b’permessi normali tal-fajl iżomm il-kollettur kompletament barra mill-pjan ta’ kontroll, u dan huwa l-arranġament li l-biċċa l-kbira tal-monitoraġġ fil-fatt jeħtieġ.

Soket proprju, mhux wieħed miftuħ

Soket tad-dominju Unix iżomm il-passaġġ tal-kontroll barra min-netwerk, li jneħħi l-indirizz tal-tunnel li jinbidel mill-problema. Ma jneħħix il-kwistjoni tal-permessi. Id-direttorju prinċipali jrid ikun jista’ jinkiteb mill-kont tas-servizz u jintlaħaq mill-kont tal-kontrollur, u dawn huma żewġ permessi separati:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Il-fajl tal-password iġorr is-sigriet tal-amministrazzjoni fl-ewwel linja tiegħu. Ipproteġi dak il-fajl bħal kull kredenzjali oħra, u żomm il-kontenut tiegħu barra mil-logs u l-biljetti tal-appoġġ. Ir-restrizzjonijiet tal-utent u tal-grupp huma verifiki tal-peer fuq is-soket Unix, mhux permessi tas-sistema tal-fajls, għalhekk il-proċess maħsub jeħtieġ kemm l-aċċess għall-fajl kif ukoll l-identità li taqbel.

Li tagħmel is-soket aċċessibbli għad-dinja kollha biex tneħħi żball ta’ permess huwa l-unika tiswija li għandha tiġi evitata. Dan ibiddel kanal ta’ kontroll lokali f’xi ħaġa li kull proċess fuq il-host jista’ jmexxi.

Ippubblikah fuq TCP mhuwiex l-istess disinn

Li tmexxi s-semmiegħ għal port TCP ma jagħmilx aktar sigur jew aktar konvenjenti. Il-password tal-amministrazzjoni tintbagħat fiċ-ċar, għalhekk semmiegħ TCP jesponi kemm il-kredenzjali kif ukoll is-sessjoni lil kull min jista’ josserva l-passaġġ. Li tasal għalih minn host ieħor tirrikjedi kanal tal-amministrazzjoni awtorizzat, jew aġent lokali żgħir li jesponi biss l-osservazzjonijiet li għandek bżonn.

Password fuq trasport ta’ test ċar hija awtentikazzjoni mingħajr kunfidenzjalità, u dik il-kombinazzjoni hija agħar milli tidher għax tħoss li hija protetta.

Dipendenza tal-bidu li ma tlabtx

Diversi għażliet tal-amministrazzjoni jbiddlu ċ-ċiklu tal-ħajja tad-daemon. Li żżomm il-bidu sakemm jikkonnettja kontrollur, jew li ttemm meta l-kontrollur jisparixxi, tibdel osservatur fakultattiv f’dipendenza iebsa. Aġent ta’ monitoraġġ li jiġġarraf imbagħad iġorr it-tunnel miegħu.

Irrevedi dawk l-għażliet qabel ma tattiva xi ħaġa lil hinn mis-soket stess. L-osservazzjoni fakultattiva għandha tibqa’ fakultattiva, u politika ta’ restart m’għandhiex tkun marbuta ma’ kollettur miżjud għall-graffiċi.

Fajl tas-soket li jibqa’ wara proċess fallut mhuwiex prova li jeżisti semmiegħ. Identifika liema istanza tippossjedi l-passaġġ qabel ma tneħħih, u uża l-fluss ta’ rkupru tas-servizz innifsu minflok ma tħassar fajls taħt daemon li qed jaħdem.

Kif tidher l-aċċettazzjoni

Erba’ verifiki jkopru d-disinn: l-identità maħsuba tal-kontrollur tikkonnettja, proċess mingħajr dik l-identità jiġi miċħud, id-daemon jissopravivi kontrollur li jiskonnettja mingħajr twissija, u t-tunnel xorta jġorr traffiku permezz ta’ restart ikkontrollat. Konnessjoni tal-amministrazzjoni li tirnexxi tipprova biss il-pjan ta’ kontroll. Ma tgħid xejn dwar jekk traffiku tal-applikazzjonijiet privati jaħdimx, għalhekk iċċekkjah b’mod separat. Ikteb l-erba’ riżultati fejn l-operatur li jmiss jista’ jsibhom.

Id-dokumentazzjoni tal-interface tal-amministrazzjoni tiddeskrivi l-mudell ta’ klijent wieħed u n-natura privileġġata tal-protokoll, u dik hija l-parti li tiswa l-pena tinqara qabel ma tħares dashboard lejh.