fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
This commit is contained in:
@@ -6,6 +6,11 @@ import {
|
||||
renderLegacyFailure,
|
||||
type HostProbe
|
||||
} from "../src/steps/cleanHost";
|
||||
import {
|
||||
ORCHESTRATOR_INSTALL_DIR,
|
||||
ORCHESTRATOR_SYMLINK_PATH,
|
||||
RUNTIME_PACKAGE_DIR
|
||||
} from "../src/config/profile";
|
||||
import { baselineConfig } from "./fixtures";
|
||||
|
||||
/**
|
||||
@@ -31,23 +36,23 @@ const config = baselineConfig();
|
||||
|
||||
describe("clean-host контракт", () => {
|
||||
test("чистый хост проходит", async () => {
|
||||
await expect(assertCleanHost(config, "bootstrap", probeWith([]))).resolves.toBeUndefined();
|
||||
await expect(assertCleanHost(config, probeWith([]))).resolves.toBeUndefined();
|
||||
});
|
||||
|
||||
test("каждый маркер по отдельности останавливает установку", async () => {
|
||||
const markers = legacyMarkersFor(config, "bootstrap");
|
||||
const markers = legacyMarkersFor(config);
|
||||
expect(markers.length).toBeGreaterThan(10);
|
||||
|
||||
for (const marker of markers) {
|
||||
const probe = probeWith([marker.target]);
|
||||
await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(
|
||||
await expect(assertCleanHost(config, probe)).rejects.toThrow(
|
||||
/предыдущая или посторонняя установка/
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
test("список покрывает состояние, юниты, бинарник и наследие 0.x", () => {
|
||||
const targets = legacyMarkersFor(config, "bootstrap").map((marker) => marker.target);
|
||||
const targets = legacyMarkersFor(config).map((marker) => marker.target);
|
||||
|
||||
for (const expected of [
|
||||
"/etc/hysteria/post-install.env",
|
||||
@@ -96,7 +101,7 @@ describe("clean-host контракт", () => {
|
||||
"/usr/local/bin/hysteria",
|
||||
"/etc/nftables.d/hy2xs.nft"
|
||||
];
|
||||
const targets = legacyMarkersFor(config, "bootstrap").map((marker) => marker.target);
|
||||
const targets = legacyMarkersFor(config).map((marker) => marker.target);
|
||||
|
||||
for (const purged of purgedPaths) {
|
||||
const covered = targets.some((target) => target === purged || target.startsWith(`${purged}/`));
|
||||
@@ -105,50 +110,45 @@ describe("clean-host контракт", () => {
|
||||
});
|
||||
|
||||
/**
|
||||
* Пути, которые install.sh законно создаёт между фазами, обязаны быть
|
||||
* маркером в PHASE 0 и перестать им быть в PHASE 1 — иначе установка
|
||||
* отказала бы на собственном, только что разложенном оркестраторе.
|
||||
* Регрессия архитектуры установки.
|
||||
*
|
||||
* Пока PHASE 1 начиналась в install.sh, у списка маркеров была вторая,
|
||||
* «мягкая» версия: пути, которые shell успевал создать между фазами,
|
||||
* исключались из проверки. Это была не оптимизация, а компенсация того, что
|
||||
* мутировали двое.
|
||||
*
|
||||
* Теперь bootstrap выполняет сам оркестратор — уже ПОСЛЕ clean-host, — и
|
||||
* послаблений быть не должно: любой из этих путей на входе означает чужую
|
||||
* установку, при любом вызове.
|
||||
*/
|
||||
test("пути, созданные install.sh между фазами, не блокируют PHASE 1", async () => {
|
||||
for (const target of [
|
||||
"/usr/local/lib/hy2xs",
|
||||
"/usr/local/lib/hy2xs/package",
|
||||
"/usr/local/bin/hy2xs-orchestrator"
|
||||
]) {
|
||||
const probe = probeWith([target]);
|
||||
await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(
|
||||
test("bootstrap-пути остаются маркерами без всяких исключений", async () => {
|
||||
for (const target of [ORCHESTRATOR_INSTALL_DIR, RUNTIME_PACKAGE_DIR, ORCHESTRATOR_SYMLINK_PATH]) {
|
||||
await expect(assertCleanHost(config, probeWith([target]))).rejects.toThrow(
|
||||
/предыдущая или посторонняя установка/
|
||||
);
|
||||
await expect(assertCleanHost(config, "install", probe)).resolves.toBeUndefined();
|
||||
}
|
||||
});
|
||||
|
||||
test("маркеры bootstrap-путей берутся из профиля, а не из копий строк", () => {
|
||||
const targets = legacyMarkersFor(config).map((marker) => marker.target);
|
||||
expect(targets).toContain(ORCHESTRATOR_INSTALL_DIR);
|
||||
expect(targets).toContain(RUNTIME_PACKAGE_DIR);
|
||||
expect(targets).toContain(ORCHESTRATOR_SYMLINK_PATH);
|
||||
});
|
||||
|
||||
test("пути из конфигурации попадают в список, а не только дефолтные", () => {
|
||||
const custom = baselineConfig({
|
||||
HY2XS_INSTALL_DIR: "/srv/hy2xs-app",
|
||||
HY2XS_DATA_DIR: "/srv/hy2xs-data"
|
||||
});
|
||||
const targets = legacyMarkersFor(custom, "bootstrap").map((marker) => marker.target);
|
||||
const targets = legacyMarkersFor(custom).map((marker) => marker.target);
|
||||
expect(targets).toContain("/srv/hy2xs-app");
|
||||
expect(targets).toContain("/srv/hy2xs-data");
|
||||
});
|
||||
|
||||
// install.sh раскладывает runtime-пакет между фазами, поэтому в PHASE 1
|
||||
// этот путь уже наш и маркером быть не может.
|
||||
test("runtime-пакет — маркер в PHASE 0, но не в PHASE 1", async () => {
|
||||
const probe = probeWith(["/usr/local/lib/hy2xs/package"]);
|
||||
await expect(assertCleanHost(config, "bootstrap", probe)).rejects.toThrow(/usr\/local\/lib\/hy2xs\/package/);
|
||||
await expect(assertCleanHost(config, "install", probe)).resolves.toBeUndefined();
|
||||
});
|
||||
|
||||
test("остальные маркеры продолжают работать и в PHASE 1", async () => {
|
||||
const probe = probeWith(["hysteria-server.service"]);
|
||||
await expect(assertCleanHost(config, "install", probe)).rejects.toThrow(/hysteria-server\.service/);
|
||||
});
|
||||
|
||||
test("сообщение перечисляет все найденные маркеры и говорит, что хост не изменён", async () => {
|
||||
const found = await detectLegacyMarkers(
|
||||
legacyMarkersFor(config, "bootstrap"),
|
||||
legacyMarkersFor(config),
|
||||
probeWith(["/etc/hy2xs/hy2xs.env", "hy2xs-admin.service"])
|
||||
);
|
||||
expect(found).toHaveLength(2);
|
||||
|
||||
@@ -16,6 +16,7 @@ type Ownership = Parameters<typeof classifyFailure>[0];
|
||||
function ownership(overrides: Partial<Ownership> = {}): Ownership {
|
||||
return {
|
||||
stateWritten: false,
|
||||
bootstrapTouched: false,
|
||||
depsTouched: false,
|
||||
filesystemTouched: false,
|
||||
uiTouched: false,
|
||||
@@ -112,6 +113,19 @@ describe("классификация отказа установки", () => {
|
||||
expect(classifyFailure(ownership({ stateWritten: true }), "preflight_ok")).toBe("fatal_post_apply");
|
||||
});
|
||||
|
||||
// Регрессия: раскладку оркестратора и runtime-пакета выполнял install.sh,
|
||||
// поэтому у оркестратора не было флага, которым это можно было бы учесть.
|
||||
// Отказ сразу после bootstrap выглядел как «хост не тронут», хотя на диске
|
||||
// уже лежали /usr/local/lib/hy2xs и symlink в /usr/local/bin.
|
||||
test("начатый bootstrap уже делает отказ post-apply", () => {
|
||||
expect(classifyFailure(ownership({ bootstrapTouched: true }), "preflight_ok")).toBe(
|
||||
"fatal_post_apply"
|
||||
);
|
||||
expect(
|
||||
classifyFailure(ownership({ stateWritten: true, bootstrapTouched: true }), "bootstrap_installed")
|
||||
).toBe("fatal_post_apply");
|
||||
});
|
||||
|
||||
test("падение installDeps после записи состояния — post-apply", () => {
|
||||
expect(
|
||||
classifyFailure(ownership({ stateWritten: true, depsTouched: true }), "preflight_ok")
|
||||
|
||||
@@ -0,0 +1,175 @@
|
||||
import { describe, expect, test } from "bun:test";
|
||||
import { readFileSync } from "node:fs";
|
||||
import { preflight } from "../src/steps/preflight";
|
||||
import { classifyReconfigureFailure } from "../src/commands/reconfigure";
|
||||
import { baselineConfig, testContext } from "./fixtures";
|
||||
|
||||
/**
|
||||
* Порядок фаз установки — инвариант, который нельзя проверить ни модульно, ни
|
||||
* на живом сервере дешевле, чем разбором самой последовательности.
|
||||
*
|
||||
* Оба дефекта, которые здесь закреплены, проявлялись ТОЛЬКО на настоящей
|
||||
* Debian-машине и оба ломали установку полностью:
|
||||
*
|
||||
* 1. clean-host проверялся дважды, второй раз — уже после записи
|
||||
* install-state.json, и опознавал собственный маркер как чужую установку;
|
||||
* 2. bootstrap (раскладка оркестратора и runtime-пакета) выполнялся вне
|
||||
* оркестратора, поэтому не имел владельца и не попадал в rollback.
|
||||
*/
|
||||
|
||||
const installSource = readFileSync(new URL("../src/commands/install.ts", import.meta.url), "utf8");
|
||||
const reconfigureSource = readFileSync(
|
||||
new URL("../src/commands/reconfigure.ts", import.meta.url),
|
||||
"utf8"
|
||||
);
|
||||
const installerSource = readFileSync(new URL("../../package/install.sh", import.meta.url), "utf8");
|
||||
|
||||
function occurrences(haystack: string, needle: string): number {
|
||||
return haystack.split(needle).length - 1;
|
||||
}
|
||||
|
||||
describe("preflight: clean-host — условие входа, а не проверка возможностей", () => {
|
||||
const context = testContext(baselineConfig());
|
||||
|
||||
test("в режиме install умолчания у checkCleanHost нет", async () => {
|
||||
await expect(preflight(context)).rejects.toThrow(/checkCleanHost must be stated explicitly/);
|
||||
await expect(preflight(context, { requireCapabilities: true })).rejects.toThrow(
|
||||
/checkCleanHost must be stated explicitly/
|
||||
);
|
||||
});
|
||||
|
||||
test("отказ наступает раньше любой работы с системой", async () => {
|
||||
// Проверка стоит первой в preflight, поэтому тест проходит и не под root,
|
||||
// и на не-Debian машине: до assertPlatform дело не доходит.
|
||||
await expect(preflight(context)).rejects.toThrow(/checkCleanHost/);
|
||||
});
|
||||
});
|
||||
|
||||
describe("последовательность install", () => {
|
||||
test("clean-host запрашивается ровно один раз за операцию", () => {
|
||||
expect(occurrences(installSource, "checkCleanHost: true")).toBe(1);
|
||||
expect(occurrences(installSource, "checkCleanHost: false")).toBe(1);
|
||||
});
|
||||
|
||||
// Регрессия: повторный clean-host стоял ПОСЛЕ advanceInstallState и падал на
|
||||
// /var/lib/hy2xs/install-state.json, записанном этой же установкой.
|
||||
test("clean-host проверяется до первой записи состояния", () => {
|
||||
const cleanHostAt = installSource.indexOf("checkCleanHost: true");
|
||||
const firstStateWriteAt = installSource.indexOf("await advanceInstallState(");
|
||||
expect(cleanHostAt).toBeGreaterThan(-1);
|
||||
expect(firstStateWriteAt).toBeGreaterThan(-1);
|
||||
expect(cleanHostAt).toBeLessThan(firstStateWriteAt);
|
||||
});
|
||||
|
||||
test("проход capabilities явно отказывается от clean-host", () => {
|
||||
const capabilitiesAt = installSource.indexOf("requireCapabilities: true");
|
||||
const optOutAt = installSource.indexOf("checkCleanHost: false");
|
||||
expect(capabilitiesAt).toBeGreaterThan(-1);
|
||||
// Оба флага стоят в одном вызове.
|
||||
expect(Math.abs(capabilitiesAt - optOutAt)).toBeLessThan(80);
|
||||
});
|
||||
|
||||
test("bootstrap — первый мутирующий шаг и он под флагом владения", () => {
|
||||
const flagAt = installSource.indexOf("ownership.bootstrapTouched = true");
|
||||
const callAt = installSource.indexOf("await bootstrapRuntime(");
|
||||
const depsAt = installSource.indexOf("await installDeps(");
|
||||
|
||||
expect(flagAt).toBeGreaterThan(-1);
|
||||
expect(callAt).toBeGreaterThan(-1);
|
||||
expect(flagAt).toBeLessThan(callAt);
|
||||
expect(callAt).toBeLessThan(depsAt);
|
||||
});
|
||||
|
||||
test("установка продолжается от установленного runtime-пакета", () => {
|
||||
expect(installSource).toContain("context.options.packageDir = await bootstrapRuntime(context)");
|
||||
});
|
||||
|
||||
// Регрессия: diagnosticsCollect стоял перед rollback обычным await, поэтому
|
||||
// её собственный отказ (нет места, недоступен journalctl) отменял откат.
|
||||
test("отказ диагностики не отменяет rollback", () => {
|
||||
const diagnosticsAt = installSource.indexOf("await diagnosticsCollect(options)");
|
||||
const rollbackAt = installSource.indexOf("await rollbackFailedInstall(");
|
||||
const tryAt = installSource.lastIndexOf("try {", diagnosticsAt);
|
||||
const catchAt = installSource.indexOf("catch (diagnosticsError)");
|
||||
|
||||
expect(tryAt).toBeLessThan(diagnosticsAt);
|
||||
expect(catchAt).toBeGreaterThan(diagnosticsAt);
|
||||
expect(catchAt).toBeLessThan(rollbackAt);
|
||||
});
|
||||
});
|
||||
|
||||
describe("классификация отказа reconfigure/repair", () => {
|
||||
function ownership(overrides: Partial<Parameters<typeof classifyReconfigureFailure>[0]> = {}) {
|
||||
return {
|
||||
configTouched: false,
|
||||
unitsTouched: false,
|
||||
firewallTouched: false,
|
||||
envTouched: false,
|
||||
servicesRestarted: false,
|
||||
...overrides
|
||||
};
|
||||
}
|
||||
|
||||
// Регрессия: фаза выбиралась регулярным выражением по тексту ошибки. Тот же
|
||||
// приём уже убрали из install — здесь он остался.
|
||||
test("до firewall отказ не выдаёт себя за firewall failure", () => {
|
||||
expect(classifyReconfigureFailure(ownership())).toBe("reconfigure_failed");
|
||||
expect(classifyReconfigureFailure(ownership({ configTouched: true }))).toBe("reconfigure_failed");
|
||||
expect(classifyReconfigureFailure(ownership({ unitsTouched: true }))).toBe("reconfigure_failed");
|
||||
});
|
||||
|
||||
test("тронутый firewall даёт firewall failure", () => {
|
||||
expect(classifyReconfigureFailure(ownership({ unitsTouched: true, firewallTouched: true }))).toBe(
|
||||
"firewall_connectivity_failure"
|
||||
);
|
||||
});
|
||||
|
||||
test("после рестарта сервисов отказ относится к smoke", () => {
|
||||
expect(
|
||||
classifyReconfigureFailure(ownership({ firewallTouched: true, servicesRestarted: true }))
|
||||
).toBe("smoke_failed");
|
||||
});
|
||||
|
||||
// Проверяется код, а не упоминание: комментарий, объясняющий, ПОЧЕМУ
|
||||
// классификация по тексту ошибки убрана, должен быть разрешён.
|
||||
test("текст ошибки на классификацию не влияет", () => {
|
||||
expect(reconfigureSource).not.toContain(".test(message)");
|
||||
expect(reconfigureSource).toContain("classifyReconfigureFailure(ownership)");
|
||||
});
|
||||
|
||||
test("отказ диагностики не отменяет откат firewall и конфигов", () => {
|
||||
const diagnosticsAt = reconfigureSource.indexOf("await diagnosticsCollect(options)");
|
||||
const firewallRollbackAt = reconfigureSource.indexOf("await rollbackFirewallNow(context)");
|
||||
const stateRollbackAt = reconfigureSource.indexOf("await rollbackCurrentState()");
|
||||
const catchAt = reconfigureSource.indexOf("catch (diagnosticsError)");
|
||||
|
||||
expect(catchAt).toBeGreaterThan(diagnosticsAt);
|
||||
expect(catchAt).toBeLessThan(firewallRollbackAt);
|
||||
expect(firewallRollbackAt).toBeLessThan(stateRollbackAt);
|
||||
});
|
||||
});
|
||||
|
||||
describe("install.sh остаётся read-only bootstrap", () => {
|
||||
test("установщик запускает preflight и передаёт мутацию через exec", () => {
|
||||
expect(installerSource).toContain("preflight-install --package-dir");
|
||||
expect(installerSource).toMatch(/exec "\$ORCHESTRATOR" install --package-dir/);
|
||||
});
|
||||
|
||||
test("в установщике не осталось ни одной мутирующей команды", () => {
|
||||
const mutating = /^\s*(install|ln|cp|mv|rm|mkdir|chown|chmod|systemctl|apt-get|useradd|groupadd|nft|tee)\s/;
|
||||
const offenders = installerSource
|
||||
.split(/\r?\n/)
|
||||
.map((line, index) => ({ line, number: index + 1 }))
|
||||
.filter((entry) => mutating.test(entry.line));
|
||||
|
||||
expect(
|
||||
offenders,
|
||||
`install.sh мутирует хост: ${offenders.map((entry) => `${entry.number}: ${entry.line.trim()}`).join("; ")}`
|
||||
).toEqual([]);
|
||||
});
|
||||
|
||||
test("установщик не раскладывает оркестратор сам", () => {
|
||||
expect(installerSource).not.toContain("ORCHESTRATOR_INSTALL_PATH=");
|
||||
expect(installerSource).not.toContain("RUNTIME_PACKAGE_DIR=");
|
||||
});
|
||||
});
|
||||
@@ -3,22 +3,30 @@ import {
|
||||
checkPublicEndpoint,
|
||||
getLocalPublicIpv4s,
|
||||
isRoutablePublicIpv4,
|
||||
nonPublicIpv4Range,
|
||||
type EndpointProbe
|
||||
} from "../src/steps/networkEndpoint";
|
||||
import { assertPublicEndpoint } from "../src/steps/preflight";
|
||||
import { baselineConfig } from "./fixtures";
|
||||
|
||||
/** Коды отказа резолвера, отличные от «записи нет». */
|
||||
type DnsFailureCode = "ENODATA" | "ENOTFOUND" | "SERVFAIL" | "ETIMEOUT" | "ECONNREFUSED";
|
||||
|
||||
/**
|
||||
* Проба полностью подменяет и DNS, и список локальных адресов: тест не имеет
|
||||
* права зависеть ни от сети, ни от интерфейсов машины разработчика.
|
||||
*/
|
||||
function probe(options: { local: string[]; dns?: Record<string, string[] | "ENODATA"> }): EndpointProbe {
|
||||
function probe(options: {
|
||||
local: string[];
|
||||
dns?: Record<string, string[] | DnsFailureCode>;
|
||||
}): EndpointProbe {
|
||||
return {
|
||||
async resolve4(hostname) {
|
||||
const records = options.dns?.[hostname];
|
||||
if (records === undefined || records === "ENODATA") {
|
||||
const error = new Error(`queryA ENODATA ${hostname}`) as Error & { code?: string };
|
||||
error.code = "ENODATA";
|
||||
if (records === undefined || typeof records === "string") {
|
||||
const code: DnsFailureCode = typeof records === "string" ? records : "ENODATA";
|
||||
const error = new Error(`queryA ${code} ${hostname}`) as Error & { code?: string };
|
||||
error.code = code;
|
||||
throw error;
|
||||
}
|
||||
return records;
|
||||
@@ -33,7 +41,7 @@ const SECOND = "185.10.20.28";
|
||||
|
||||
describe("классификация IPv4", () => {
|
||||
test("публичные адреса распознаются", () => {
|
||||
for (const ip of ["1.1.1.1", "8.8.8.8", "185.10.20.27", "203.0.113.5"]) {
|
||||
for (const ip of ["1.1.1.1", "8.8.8.8", "185.10.20.27", "203.0.114.5"]) {
|
||||
expect(isRoutablePublicIpv4(ip)).toBe(true);
|
||||
}
|
||||
});
|
||||
@@ -56,6 +64,40 @@ describe("классификация IPv4", () => {
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* Регрессия: функция называлась «маршрутизируемый публичный IPv4», а список
|
||||
* исключений покрывал только приватные диапазоны. TEST-NET-3 (203.0.113.0/24)
|
||||
* — адрес из RFC-примеров, который нельзя назначить серверу, — проходил
|
||||
* проверку как обычный публичный адрес. Список приведён к IANA
|
||||
* Special-Purpose Address Registry.
|
||||
*/
|
||||
test("документационные и служебные диапазоны IANA исключаются", () => {
|
||||
for (const ip of [
|
||||
"192.0.0.1", // IETF protocol assignments
|
||||
"192.0.2.5", // TEST-NET-1
|
||||
"192.88.99.1", // 6to4 relay anycast
|
||||
"198.18.0.1", // benchmarking
|
||||
"198.19.255.254", // benchmarking, верхняя граница /15
|
||||
"198.51.100.5", // TEST-NET-2
|
||||
"203.0.113.5" // TEST-NET-3
|
||||
]) {
|
||||
expect(isRoutablePublicIpv4(ip), `${ip} должен быть исключён`).toBe(false);
|
||||
}
|
||||
});
|
||||
|
||||
test("границы специальных диапазонов не задевают соседей", () => {
|
||||
for (const ip of ["192.0.1.1", "192.0.3.1", "198.17.255.255", "198.20.0.1", "203.0.112.255"]) {
|
||||
expect(isRoutablePublicIpv4(ip), `${ip} не должен быть исключён`).toBe(true);
|
||||
}
|
||||
});
|
||||
|
||||
test("причина исключения называется в диагностике", () => {
|
||||
expect(nonPublicIpv4Range("203.0.113.5")).toContain("TEST-NET-3");
|
||||
expect(nonPublicIpv4Range("10.0.0.1")).toContain("private");
|
||||
expect(nonPublicIpv4Range("1.1.1.1")).toBeNull();
|
||||
expect(nonPublicIpv4Range("не адрес")).toBeNull();
|
||||
});
|
||||
|
||||
test("172.32.0.0 уже вне приватного диапазона", () => {
|
||||
expect(isRoutablePublicIpv4("172.32.0.1")).toBe(true);
|
||||
expect(isRoutablePublicIpv4("172.15.255.255")).toBe(true);
|
||||
@@ -262,6 +304,61 @@ describe("HY2XS_PUBLIC_ENDPOINT_POLICY", () => {
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* Регрессия диагностики: любой отказ resolve4 печатался как
|
||||
* «has no A-record». При сломанном /etc/resolv.conf оператор шёл править
|
||||
* DNS-запись, которая на самом деле была на месте.
|
||||
*/
|
||||
test("отказ резолвера отличается от отсутствия записи", async () => {
|
||||
for (const code of ["SERVFAIL", "ETIMEOUT", "ECONNREFUSED"] as const) {
|
||||
const problems = await checkPublicEndpoint(
|
||||
baselineConfig(),
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": code } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("resolver_failure");
|
||||
expect(problems[0].message).toContain("DNS resolver failed");
|
||||
expect(problems[0].message).toContain(code);
|
||||
expect(problems[0].message).toContain("/etc/resolv.conf");
|
||||
expect(problems[0].message).not.toContain("has no A-record");
|
||||
}
|
||||
});
|
||||
|
||||
test("NXDOMAIN и ENODATA остаются отсутствием записи", async () => {
|
||||
for (const code of ["ENODATA", "ENOTFOUND"] as const) {
|
||||
const problems = await checkPublicEndpoint(
|
||||
baselineConfig(),
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": code } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("resolution");
|
||||
expect(problems[0].message).toContain("has no A-record");
|
||||
}
|
||||
});
|
||||
|
||||
// Ослаблять нечего и здесь: без ответа резолвера проверка не выполнена,
|
||||
// а не «выполнена с замечанием».
|
||||
test("отказ резолвера фатален при любой политике", async () => {
|
||||
for (const policy of ["strict", "warn", "off"]) {
|
||||
const config = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: policy });
|
||||
await expect(
|
||||
assertPublicEndpoint(config, probe({ local: [CURRENT], dns: { "vpn.example.com": "SERVFAIL" } }))
|
||||
).rejects.toThrow(/DNS resolver failed/);
|
||||
}
|
||||
});
|
||||
|
||||
test("IPv4-литерал из документационного диапазона отклоняется с указанием причины", async () => {
|
||||
const literal = baselineConfig({
|
||||
HY2XS_PUBLIC_HOST: "203.0.113.5",
|
||||
HY2XS_DOMAIN: "vpn.example.com"
|
||||
});
|
||||
const problems = await checkPublicEndpoint(
|
||||
literal,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems.some((problem) => problem.message.includes("TEST-NET-3"))).toBe(true);
|
||||
});
|
||||
|
||||
test("неизвестное значение политики отклоняется", () => {
|
||||
expect(() => baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: "maybe" })).toThrow(
|
||||
/invalid HY2XS_PUBLIC_ENDPOINT_POLICY/
|
||||
|
||||
@@ -3,6 +3,7 @@ import {
|
||||
REDACTED,
|
||||
isSecretKey,
|
||||
redactEnv,
|
||||
redactLogText,
|
||||
redactYaml,
|
||||
redactYamlFallback,
|
||||
sanitizeUrlValue
|
||||
@@ -214,6 +215,65 @@ describe("санитизация URL", () => {
|
||||
});
|
||||
});
|
||||
|
||||
/**
|
||||
* Регрессия diagnostics-бандла: env и YAML в нём редактировались, а
|
||||
* journal-admin.log копировался как есть. Пока админка логировала RequestURI,
|
||||
* в этом файле лежал действующий machine token, и бандл уносил его наружу.
|
||||
*/
|
||||
describe("редакция журналов в diagnostics-бандле", () => {
|
||||
const JOURNAL_LINE =
|
||||
'авг 27 12:00:01 host hy2xs-admin[123]: {"level":"info","reqUri":"/internal/hysteria/auth?access_token=' +
|
||||
MACHINE_TOKEN +
|
||||
'"}';
|
||||
|
||||
test("machine token из journald-строки вырезается", () => {
|
||||
const out = redactLogText(JOURNAL_LINE);
|
||||
expect(out).not.toContain(MACHINE_TOKEN);
|
||||
expect(out).toContain("/internal/hysteria/auth");
|
||||
});
|
||||
|
||||
test("адрес остаётся читаемым: host, port и path не теряются", () => {
|
||||
const out = redactLogText(
|
||||
`auth backend error: Post http://127.0.0.1:8080/internal/hysteria/auth?access_token=${MACHINE_TOKEN}: EOF`
|
||||
);
|
||||
expect(out).not.toContain(MACHINE_TOKEN);
|
||||
expect(out).toContain("127.0.0.1:8080");
|
||||
expect(out).toContain("/internal/hysteria/auth");
|
||||
});
|
||||
|
||||
test("секрет вне URL тоже вырезается", () => {
|
||||
for (const line of [
|
||||
`starting with access_token=${MACHINE_TOKEN}`,
|
||||
`trafficStats secret=${MACHINE_TOKEN} rejected`,
|
||||
`obfs password: ${OBFS_PASSWORD}`
|
||||
]) {
|
||||
const out = redactLogText(line);
|
||||
expect(out).not.toContain(MACHINE_TOKEN);
|
||||
expect(out).not.toContain(OBFS_PASSWORD);
|
||||
expect(out).toContain(REDACTED);
|
||||
}
|
||||
});
|
||||
|
||||
test("обычные строки журнала не меняются", () => {
|
||||
const line = "server up and running, listening on 0.0.0.0:443";
|
||||
expect(redactLogText(line)).toBe(line);
|
||||
expect(redactLogText("")).toBe("");
|
||||
});
|
||||
|
||||
test("хвостовая пунктуация сохраняется", () => {
|
||||
const out = redactLogText(
|
||||
`failed to call http://127.0.0.1:8080/internal/hysteria/auth?access_token=${MACHINE_TOKEN}.`
|
||||
);
|
||||
expect(out).not.toContain(MACHINE_TOKEN);
|
||||
expect(out.endsWith(".")).toBe(true);
|
||||
});
|
||||
|
||||
test("повторный проход ничего не ломает", () => {
|
||||
const once = redactLogText(JOURNAL_LINE);
|
||||
expect(redactLogText(once)).toBe(once);
|
||||
});
|
||||
});
|
||||
|
||||
describe("маркеры секретных имён", () => {
|
||||
test("покрывают типовые секретоподобные имена", () => {
|
||||
for (const key of [
|
||||
|
||||
Reference in New Issue
Block a user