OpenConnect csd-wrapper: లాగిన్కు ముందు స్క్రిప్ట్ను ఆడిట్ చేయండి

ప్రొఫైల్కు --csd-wrapper జోడించడం అనేది లాగిన్ సమయంలో దాన్ని అమలు చేసే డీమన్కు స్థానిక స్క్రిప్ట్ను అప్పగిస్తుంది, కాబట్టి మీ ముందున్న నిర్ణయం కోడ్ సమీక్ష, ప్రాధాన్యత టోగుల్ కాదు. గేట్వే యొక్క హోస్ట్-తనిఖీ భాగాన్ని భర్తీ చేయగలిగేలా ఈ ఎంపిక ఉంది, మరియు మీరు అందించే స్క్రిప్ట్కు మార్గాన్ని తీసుకుంటుంది. క్రింద ఉన్నవన్నీ ఏ పోస్చర్ తనిఖీ అవసరమో డిప్లాయ్మెంట్ యజమాని ఇప్పటికే చెప్పారని ఊహిస్తాయి; ఆ భాగం ఇంకా తెరిచి ఉంటే, మొదట దాన్ని పరిష్కరించండి. మార్గదర్శినిలో నాలుగు దశలు ఉన్నాయి: విఫలమైన దశను కనుగొనండి, స్క్రిప్ట్ చదవండి, అది ఏ గుర్తింపు కింద నడుస్తుందో ఎంచుకోండి మరియు ఫలితాన్ని నిరూపించండి.

దశ 1: విఫలమైన దశను కనుగొనండి

క్లయింట్ చివరి సందేశం సాధారణంగా కుకీ గురించి ఉంటుంది, అది గొలుసు ముగింపు, ప్రారంభం కాదు. HTTPS లాగిన్, సర్వర్ సర్టిఫికేట్ తనిఖీ, ప్రామాణీకరణ మార్పిడి మరియు పోస్చర్ భాగం అన్నీ ఆ సందేశానికి ముందు ఉంటాయి.

ఉపయోగంలో ఉన్న సంస్కరణ మరియు లాగిన్ చిరునామాను నమోదు చేయండి, ఆపై వివరమైన అవుట్పుట్ను మీ స్వంత టెర్మినల్లో ఉంచి ప్రయత్నాన్ని పునరావృతం చేయండి. తిరిగి ప్రయత్నం కాని మొదటి లోపాన్ని చదవండి, ట్రాన్స్క్రిప్ట్ చివరి పంక్తిని కాదు. ఏదైనా మూల్యాంకన భాగం పేరు చెప్పే ముందే లాగ్ ఆగిపోతే, ర్యాపర్ ఇంకా మీ సమస్య కాదు. ఆ సమయంలో దాన్ని జోడించడం తర్వాత మీరు రక్షించాల్సిన ఉపరితలాన్ని విస్తరిస్తుంది మాత్రమే.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

ట్రాన్స్క్రిప్ట్ను స్థానికంగా ఉంచండి, ఎందుకంటే కుకీలు మరియు ప్రామాణీకరణ ప్రతిస్పందనలు యాక్సెస్ పదార్థం. చాట్ థ్రెడ్లో అతికించిన జాడ, మూల్యాంకన దశ హానికరం కానట్టు కనిపించినా, ఆధారాల లీక్. లోపం యొక్క పాఠ్యాన్ని మరియు ప్రవాహంలో అది కనిపించిన బిందువును పంచుకోండి, పేలోడ్ను ఎప్పుడూ కాదు.

దశ 2: స్క్రిప్ట్ ప్రొఫైల్లోకి ప్రవేశించే ముందు చదవండి

ర్యాపర్ మీరు సమీక్షించిన పునర్విమర్శకు సమానంగానే నమ్మదగినది, కాబట్టి ఆ పునర్విమర్శను పిన్ చేసి దాని హాష్ను ఆమోద నోట్ పక్కన నిల్వ చేయండి. క్రింది రెండు ఆదేశాలు ఒక పంక్తి చదవకముందే వేలిముద్ర మరియు చవకైన వాక్యనిర్మాణ తనిఖీని ఇస్తాయి. ఫైల్ ప్యాకేజీ నిర్వహణ వెలుపల నివసించినప్పుడు ముఖ్యమైన తదుపరి వ్యక్తికి స్థిరమైన సూచనను కూడా ఇస్తాయి. ఏ ఆదేశం స్క్రిప్ట్ ఏమి చేస్తుందో చెప్పదు, కాబట్టి వాటిని అమలు చేసి చదవడం కొనసాగించండి.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

మొత్తం ఫైల్ను నాలుగు ప్రశ్నలను మనసులో ఉంచుకుని చదవండి: అది బయటకు HTTP కాల్స్ చేస్తుందా, ఆధార ఫైళ్లు లేదా పర్యావరణ చరాలను చదుస్తుందా, తాత్కాలిక డైరెక్టరీ వెలుపల రాస్తుందా, మరియు ఏమీ కొలవకుండా ఏదైనా శాఖ ఉత్తీర్ణ పోస్చర్ను నివేదిస్తుందా. ఆ చివరి నమూనా లాగ్ పంక్తితో జోడించబడిన విధాన బైపాస్. కాపీ చేసిన ర్యాపర్లు దాన్ని నమ్మదగినట్టు కనిపించే తనిఖీ వెనుక కొట్టుకుపోతాయి. స్క్రిప్ట్ పరికరాన్ని చూసే ముందే పరికరం బాగుందని నిర్ణయించుకుంటే, అక్కడే ఆగండి.

ప్యాక్ చేసిన పేలోడ్లను కూడా తనిఖీ చేయండి, ఎందుకంటే చదవగలిగే శీర్షిక ఫైల్ మిగిలిన భాగం గురించి ఏమీ నిరూపించదు. ఫోరమ్ థ్రెడ్ నుండి స్క్రిప్ట్ డౌన్లోడ్ చేయడం దాని పేరు నిజమైన హోస్ట్-తనిఖీ భాగాన్ని పోలి ఉండటం వల్ల మాత్రమే నమ్మదగినదిగా చేయదు. ఎవరు ఇన్స్టాల్ చేశారు, ఎక్కడి నుండి వచ్చింది మరియు ఎలా నవీకరించబడుతుందో నమోదు చేయండి.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

దశ 3: ర్యాపర్ ఏ గుర్తింపు కింద నడుస్తుందో ఎంచుకోండి

CSD, TNCC లేదా HIP ప్రోగ్రామ్ అమలయ్యే సమయంలో --csd-user అధికారాలను తగ్గిస్తుంది. ఆ ఖాతా స్థానిక అమలు ఏర్పాటులో భాగం, గేట్వేకు సమర్పించే వినియోగదారు పేరు కాదు.

ర్యాపర్కు ఇంటరాక్టివ్ షెల్ లేని, sudo హక్కులు లేని మరియు అవసరం లేని సమూహ సభ్యత్వాలు లేని ప్రత్యేక ఖాతా ఇవ్వండి. స్క్రిప్ట్కు మరియు అది తనిఖీ చేసే నిర్దిష్ట ఫైళ్లకు చదవడం యాక్సెస్ ఇవ్వండి, ఆపై VPN ప్రొఫైల్ను తాకే ముందు అధికార తగ్గింపును పరీక్షించండి. సమస్యను ఇక్కడ కనుగొనడం క్లయింట్ లోపల కనుగొనడం కంటే చవక.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

అధికారాలను తగ్గించడం చెడు స్క్రిప్ట్ కలిగించగల నష్టాన్ని పరిమితం చేస్తుంది. అయితే అది కోడ్ను సమీక్షించదు, నివేదికను నిజం చేయదు, గేట్వే నిర్వాహకుడు ఈ అమలును పరికర విధాన నెరవేర్పుగా అంగీకరిస్తారని స్థాపించదు.

దశ 4: మార్పును తిరిగి మార్చగలిగేలా ఉంచండి

ప్రొఫైల్ను సవరించే ముందు బ్యాకప్ తీసుకోండి, మరియు ర్యాపర్ను వెర్షన్ నియంత్రణలో ఉంచండి, తద్వారా రోల్బ్యాక్ కాపీని వెతకడం బదులు తెలిసిన హాష్ను పునరుద్ధరిస్తుంది. స్క్రిప్ట్ మార్గం, హాష్, అమలు వినియోగదారు మరియు ఆమోదించిన వ్యక్తిని ఒకే చోట రాయండి.

తిరిగి మార్చడానికి ఎంపికను తీసివేయండి, క్లయింట్ను పునఃప్రారంభించి, అసలు లోపం తిరిగి వస్తుందని ధృవీకరించండి. రోల్బ్యాక్ తర్వాత కూడా గేట్వే లాగిన్ను తిరస్కరిస్తే, మరేదో కూడా మారింది, మరియు ఆ భేదాన్ని కనుగొనడం ర్యాపర్ను మళ్లీ ప్రయత్నించే ముందు వస్తుంది. మార్పు విండో మొత్తం మునుపటి కాపీని ఉంచండి, ఇది చాలా బృందాలకు తదుపరి నిర్వహణ విండో గడిచే వరకు అని అర్థం.

విజయవంతమైన డిప్లాయ్మెంట్ తర్వాత ఒకటి కాదు, రెండు విషయాలను తనిఖీ చేయండి: సొరంగం పైకి వస్తుంది, మరియు పోస్చర్ తనిఖీలో విఫలం కావాల్సిన పరికరం ఇప్పటికీ తిరస్కరించబడుతుంది. అందరికీ పనిచేసే కనెక్షన్ మూల్యాంకనం మీ మార్పు నుండి బయటపడిందని రుజువు కాదు.

రెండవ సమస్యను సృష్టించే షార్ట్కట్లు

అవసరమైన తనిఖీలను అమలు చేయకుండా సహాయకుడు అనుగుణ స్థితిని నివేదించడానికి అనుమతించకండి, మరియు మరో ఆపరేటింగ్ సిస్టమ్కు సరిపోయేలా ప్లాట్ఫారమ్ గుర్తింపును భర్తీ చేయవద్దు. వేరే ప్లాట్ఫారమ్ అని చెప్పడం నిజమైన పరికరం విధానాన్ని నెరవేరుస్తుందని రుజువు కాదు. ఇది ప్రతి భవిష్యత్ లాగిన్లో అబద్ధం చెప్పే క్లయింట్ను మీకు మిగిలిస్తుంది.

సర్వర్ ధృవీకరణను నిలిపివేయడం, పాత కుకీని తిరిగి ప్లే చేయడం మరియు సమీక్షించని స్క్రిప్ట్లను పోగు చేయడం — ఇవన్నీ కనిపించే వైఫల్యాన్ని కనిపించని దానితో మారుస్తాయి. ఇన్స్టాల్ చేసిన క్లయింట్ మద్దతు ఉన్న ప్రవాహాన్ని పూర్తి చేయలేకపోతే, మీ వద్ద ఉన్నదాన్ని వంచే బదులు ఆమోదించిన ప్రత్యామ్నాయాన్ని అడగండి.

OpenConnect మాన్యువల్ --csd-wrapper మరియు --csd-user ఎంపికలను విడివిడిగా పత్రీకరిస్తుంది, మరియు ఇదే ముఖ్యమైన సూచన: స్క్రిప్ట్ మరియు గుర్తింపు రెండు నిర్ణయాలు. వాటిని విడివిడిగా సమీక్షించి రెండింటినీ రాయండి. అప్పుడు లాగిన్ ప్రాంప్ట్ కోడ్ అతికించి పరిష్కరించే చిక్కు కాదు.