Is-settings tal-OpenVPN fir-router jerġgħu lura wara restart: sewwi l-ġeneratur

Il-firmware fuq router tal-konsumatur jew NAS spiss jerġa' jibni l-konfigurazzjoni tal-OpenVPN f'kull tluq, għalhekk direttiva li żżid tibqa' eżattament sal-boot li jmiss. L-istess jgħodd għall-keys imdaħħla f'formola tal-web, fejn il-valur maħżun jista' jerġa' lura ħsara wara li jiġi salvat. Ebda wieħed minn dawn is-sintomi m'huwa sinjal li l-bidla ġiet miċħuda. Ifisser li l-modifika spiċċat f'fajl li l-firmware jittratta bħala output, u li l-post permanenti jinsab pass qabel fis-sekwenza tal-boot.

Għaliex il-fajl editjat jinġenera mill-ġdid

Skript tat-tluq jiġġenera l-konfigurazzjoni tas-server minn template u mbagħad iniedi d-daemon, u dan jagħmel il-fajl imġedded artefatt tal-bini minflok sors. Kull ma jiżdied wara t-tluq huwa inviżibbli għall-eżekuzzjoni li jmiss ta' dak l-iskript. It-tieni mudell huwa aktar sottili: l-inputs tal-key u taċ-ċertifikat fl-interfaċċa tal-web jinħażnu f'forma escapejata, u s-salvataġġ tal-formola jista' jimbotta dak it-test escapejat fil-fajl li jaqra d-daemon. F'kull każ, il-konfigurazzjoni mġedda hija l-post żbaljat għal bidla permanenti.

Ħares lejn x'jikteb is-sekwenza tal-boot u meta. It-tweġiba kważi dejjem hija skript fid-direttorju init jew awtostart tal-firmware.

Daħħal id-direttiva fejn l-iskript jibni l-fajl

L-apparati QTS jerġgħu jiġġeneraw il-konfigurazzjoni tas-server OpenVPN ġewwa l-iskript init li jniedi d-daemon, għalhekk il-modifika trid issir hemm. Żid iż-żieda eżatt qabel il-kmand tat-tluq minflok ma tedita l-fajl iġġenerat.

sed -i '/daemon_mgr/i echo client-config-dir clientconfig >>/etc/openvpn/server.conf' /etc/init.d/vpn_openvpn.sh
grep -c client-config-dir /etc/openvpn/server.conf

Ankara l-inserzjoni fuq kmand li mhux se jiċċaqlaq, għax in-numri tal-linji jinbidlu bejn il-bini. Peress li l-iskript init innifsu jiġi sostitwit waqt il-boot, il-bidla trid terġa' tinħareġ mill-ganċ tal-awtostart tal-firmware kull darba li s-sistema tibda. Wara restart wieħed, għodd l-okkorrenzi fil-fajl iġġenerat: linja waħda tfisser li l-patch ħadem, filwaqt li tnejn ifissru li l-ganċ qed jaħdem aktar minn darba. Investigaw it-tħaddim doppju separatament, għax mhuwiex l-istess difett bħal bidla li sparixxet.

Sewwi formola li ħżnet keys escapejati

Fuq paġni fi stil Asus l-inputs taċ-ċertifikat u tal-key juru test escapejat, u salvataġġ wara aġġustament mhux relatat jista' jikteb dawk l-entitajiet lura fuq id-diska. Aħdem minn kopja dekodifikata u salva darba biss, meta l-modifiki kollha jkunu lesti.

openssl dhparam -out dh2048.pem 2048
grep -n "BEGIN DH PARAMETERS" dh2048.pem

Meta tissostitwixxi sett ġdid ta' parametri, ippejstja biss il-payload base64 jekk it-tikketta titlob il-ġisem tal-key, u żomm il-linji tal-armatura biss meta l-qasam jistenna blokka PEM sħiħa. L-irkupru ta' paġna li diġà hija salvata fil-forma escapejata tagħha normalment ifisser tneħħi l-inputs affettwati u tapplika, li jħalli lill-firmware jerġa' jibnihom. Iġġenera kull ma jaqbeż l-2048 bit fuq workstation, għax il-provvista tal-entropija tar-router tagħmel l-operazzjoni bil-mod u xi drabi mhux affidabbli. Aħżen il-fajl tal-parametri f'post li tista' tasal għalih wara reset tal-fabbrika.

Erġa' iċċekkja wara l-aġġornamenti

L-aġġornamenti tal-firmware jissostitwixxu l-iskripts init u jistgħu jħassru d-direttorju tal-awtostart, għalhekk il-patch irid jiġi installat u ttestjat mill-ġdid. Qabbel il-fajl iġġenerat mill-ġdid mal-kopja li żammejt u kkonferma li d-direttiva hija preżenti eżattament darba. Valur viżibbli fl-interfaċċa tal-web mhuwiex prova li d-daemon irċevieh, għax il-paġna taqra l-oqsma maħżuna. Ikteb il-kmand tal-patch u l-verżjoni tal-firmware fin-noti tal-manutenzjoni sabiex l-aġġornament li jmiss iġġorrhom 'il quddiem.

Imbagħad iqabbad klijent u aqra l-log tas-server għall-għażla li ntbagħtet. Setting li qatt ma kien jeżisti ħlief f'formola huwa setting li ħadd ma ttestja.