OpenConnect csd-wrapper: controleer het script vóór de login

Door --csd-wrapper aan een profiel toe te voegen, geef je een lokaal script aan een daemon die het tijdens de login uitvoert, dus de beslissing voor je is een codereview, geen voorkeursschakelaar. De optie bestaat zodat de host-checkcomponent van een gateway vervangen kan worden, en ze verwacht een pad naar een script dat jij levert. Alles hieronder gaat ervan uit dat de eigenaar van de uitrol al heeft gezegd welke posturecheck nodig is; als dat deel nog open is, los dat eerst op. De runbook heeft vier stappen: vind de mislukte fase, lees het script, kies de identiteit waaronder het draait, en bewijs het resultaat.

Stap 1: Vind de fase die mislukte

Het laatste bericht van de client gaat meestal over een cookie, dat is het einde van een keten en niet het begin. Een HTTPS-login, een servercertificaatcontrole, een authenticatie-uitwisseling en een posturecomponent staan allemaal vóór dat bericht.

Noteer de versie en het loginadres dat in gebruik is, en herhaal dan de poging met uitgebreide uitvoer op je eigen terminal. Lees de eerste fout die geen nieuwe poging is, niet de laatste regel van het transcript. Als het logboek stopt voordat een evaluatiecomponent wordt genoemd, is de wrapper nog niet jouw probleem. Die op dat punt toevoegen verbreedt alleen het oppervlak dat je later moet verdedigen.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

Houd het transcript lokaal, want cookies en authenticatieresponsen zijn toegangsmateriaal. Een spoor dat in een chatthread wordt geplakt, is een lek van inloggegevens, zelfs wanneer de evaluatiestap onschuldig lijkt. Deel de fouttekst en het punt in de flow waar die verscheen, nooit de payload.

Stap 2: Lees het script voordat het een profiel ingaat

Een wrapper is alleen zo betrouwbaar als de revisie die je hebt bekeken, dus pin die revisie vast en bewaar de hash naast de goedkeuringsnotitie. De twee commando’s hieronder geven je een vingerafdruk en een goedkope syntaxcontrole voordat je één regel leest. Ze geven de volgende persoon ook een vaste referentie, wat uitmaakt wanneer het bestand buiten pakketbeheer leeft. Geen van de commando’s vertelt wat het script doet, dus voer ze uit en blijf lezen.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Lees het hele bestand met vier vragen in gedachten: doet het uitgaande HTTP-aanroepen, leest het inloggegevensbestanden of omgevingsvariabelen, schrijft het buiten een tijdelijke map, en rapporteert een of andere tak een geslaagde posture zonder iets te meten. Dat laatste patroon is een beleidsomzeiling met een logregel eraan vast. Gekopieerde wrappers smokkelen het graag naar binnen achter een plausibel lijkende controle. Als het script besluit dat het apparaat in orde is voordat het naar het apparaat kijkt, stop daar.

Controleer ook op verpakte payloads, want een leesbare header bewijst niets over de rest van het bestand. Een script van een forumthread downloaden maakt het niet betrouwbaar alleen omdat de naam een echte host-checkcomponent weerspiegelt. Noteer wie het heeft geïnstalleerd, waar het vandaan kwam en hoe het wordt bijgewerkt.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Stap 3: Kies de identiteit waaronder de wrapper draait

--csd-user verlaagt privileges terwijl het CSD-, TNCC- of HIP-programma draait. Dat account maakt deel uit van de lokale uitvoeringsregeling, niet van de gebruikersnaam die aan de gateway wordt voorgelegd.

Geef de wrapper een eigen account zonder interactieve shell, zonder sudorechten en zonder groepslidmaatschappen die het niet nodig heeft. Geef leestoegang tot het script en tot de specifieke bestanden die het controleert, en test dan de verlaging voordat je het VPN-profiel aanraakt. Het probleem hier vinden is goedkoper dan het in de client vinden.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Privileges verlagen beperkt de schade die een slecht script kan aanrichten. Het controleert de code niet, maakt het rapport niet waarheidsgetrouw en stelt niet vast dat de gatewaybeheerder deze implementatie accepteert als naleving van het apparaatbeleid.

Stap 4: Houd de wijziging omkeerbaar

Maak een back-up van het profiel voordat je het bewerkt, en houd de wrapper onder versiebeheer zodat een terugdraaiing een bekende hash herstelt in plaats van een kopie te zoeken. Noteer het scriptpad, de hash, de uitvoeringsgebruiker en de goedkeurder op één plek.

Om terug te draaien, verwijder je de optie, herstart je de client en bevestig je dat de oorspronkelijke fout terugkomt. Als de gateway de login na de terugdraaiing nog steeds weigert, is er ook iets anders veranderd, en het vinden van dat verschil komt vóór een nieuwe poging met de wrapper. Bewaar de vorige kopie gedurende het hele wijzigingsvenster, wat voor de meeste teams betekent tot het volgende onderhoudsvenster voorbij is.

Controleer na een geslaagde uitrol twee dingen in plaats van één: de tunnel komt op, en een apparaat dat de posturecheck zou moeten falen wordt nog steeds geweigerd. Een verbinding die voor iedereen werkt is geen bewijs dat de evaluatie jouw wijziging heeft overleefd.

Snelkoppelingen die een tweede probleem creëren

Laat de helper geen conforme status rapporteren zonder de vereiste controles uit te voeren, en overschrijf de platformidentiteit niet om bij een ander besturingssysteem te passen. Beweren dat het een ander platform is, is geen bewijs dat het echte apparaat aan het beleid voldoet. Het laat je achter met een client die bij elke toekomstige login liegt.

Serververificatie uitschakelen, een oude cookie opnieuw afspelen en niet-gecontroleerde scripts stapelen ruilen allemaal een zichtbare fout voor een onzichtbare. Als de geïnstalleerde client de ondersteunde flow niet kan afronden, vraag dan om een goedgekeurd alternatief in plaats van degene die je hebt te buigen.

De OpenConnect-handleiding documenteert --csd-wrapper en --csd-user apart, en dat is de hint die ertoe doet: het script en de identiteit zijn twee beslissingen. Beoordeel ze apart en noteer beide. Dan is de loginprompt geen raadsel meer dat je oplost door code te plakken.