fix: закрыть каналы утечки секретов и сделать PHASE 1 владением оркестратора
Hardening-проход перед первой сборкой на Debian. Три из найденного не воспроизводились ни на одном dry-run и проявились бы только на живом сервере. Установка * preflight внутри install вызывался дважды и оба раза проверял clean-host. Ко второму вызову на диске лежал собственный /var/lib/hy2xs/install-state.json, записанный после первого preflight, и опознавался как маркер посторонней установки: КАЖДАЯ чистая установка падала сразу после apt-get с fatal_post_apply и оставляла сервер наполовину настроенным. Чистота хоста — условие входа в операцию, возможности платформы проверяются уже внутри PHASE 1, поэтому checkCleanHost стал отдельным параметром без умолчания. * PHASE 1 начиналась в install.sh: shell сам создавал /usr/local/lib/hy2xs, ставил бинарник, вешал symlink и копировал runtime-пакет, и только потом запускал оркестратор с его собственным preflight. Отказ того preflight объявлялся fatal_pre_apply — «на сервере ничего не изменено» — при уже созданном каталоге оркестратора. Отследить владение мутацией невозможно, пока мутируют двое: install.sh больше не изменяет ничего, раскладку выполняет steps/bootstrap.ts под ownership.bootstrapTouched, пути попали в owned_paths. Как следствие удалено деление clean-host на фазы. * diagnosticsCollect стояла перед rollback обычным await в install и в reconfigure. На заполненном диске она падает сама и отменяла откат целиком. Диагностика — best effort, откат — обязателен. * reconfigure/repair выбирали записываемую фазу отказа регулярным выражением по тексту ошибки. Переведено на ownership-флаги. Секреты * Журнал админки писал RequestURI, то есть путь вместе с query. Hysteria обращается к /internal/hysteria/auth?access_token=<секрет> при каждом подключении пира, поэтому действующий machine token оседал открытым текстом в hy2xs-admin.log, который отдаётся через ExportLog и попадает в diagnostics-бандл. Логируется путь; значения query не пишутся, имена — пишутся. Канала было два: gin.Default() печатает path?query в stdout, оттуда в journald и в тот же бандл, — панель переведена на gin.New() + Recovery(). Журналы внутри бандла и журнал Hysteria из ExportLog теперь проходят санитайз. Сравнение токена — constant time. * Config API позволял прочитать и подменить ключи приложения: getConfig и listConfig принимали произвольный ключ, а проверка записи была denylist'ом из трёх ключей оркестратора. Запрос ?key=PEER_SECRET_ENCRYPTION_KEY отдавал master-key шифрования секретов пиров. Доступ переведён на allowlist, маршрут getConfig удалён целиком — потребителей у него не было ни одного. Пиры * Импорт применялся по одной записи вне транзакции, вопреки собственному контракту. Валидация не знает, что уже лежит в базе: cross-conflict по UNIQUE(name) оставлял часть файла применённой. Применение выполняется одной транзакцией, криптоматериал считается до её открытия. * Файл импорта мог содержать хвостовой JSON-документ, который молча не применялся. После разбора проверяется io.EOF. * Экспорт разделён на «Экспорт настроек» и «Резервная копия» с секретами и подтверждением: обычный экспорт выдаёт пирам новые секреты при импорте, и прежние клиентские ссылки после переноса переставали работать. Сборка * Два stale-грепа в приёмке роняли build.sh в самом конце, внутри verify_archive. Первый искал в smoke.ts исчезнувший литерал URL, второй совпадал с router_test.go, который перечисляет удалённые маршруты, потому что проверяет их отсутствие: добавление регрессионного теста ломало сборку. * verify_archive требовал наличия мутирующей строки в install.sh. Инвариант перевёрнут: их не должно быть ни одной. Очистка * Удалены entity.LegacyAccount, миграции 002/003 и мёртвые хелперы listSQLMigrationFiles и envInt: v1 не мигрирует базу 0.x ни при каком сценарии. Номера оставшихся миграций сохранены. H UI-словарь убран из обычных доков, в docs/14 он остаётся — там это имена объектов для удаления. * Список непубличных IPv4 приведён к IANA Special-Purpose Address Registry: 203.0.113.5 из RFC-примеров считался публичным адресом сервера. Отказ резолвера отделён от отсутствия A-записи. Проверено: bun test 233, go test 71, tsc/vue-tsc, bash -n 11 скриптов, приёмка прогнана против дерева.
This commit is contained in:
@@ -3,22 +3,30 @@ import {
|
||||
checkPublicEndpoint,
|
||||
getLocalPublicIpv4s,
|
||||
isRoutablePublicIpv4,
|
||||
nonPublicIpv4Range,
|
||||
type EndpointProbe
|
||||
} from "../src/steps/networkEndpoint";
|
||||
import { assertPublicEndpoint } from "../src/steps/preflight";
|
||||
import { baselineConfig } from "./fixtures";
|
||||
|
||||
/** Коды отказа резолвера, отличные от «записи нет». */
|
||||
type DnsFailureCode = "ENODATA" | "ENOTFOUND" | "SERVFAIL" | "ETIMEOUT" | "ECONNREFUSED";
|
||||
|
||||
/**
|
||||
* Проба полностью подменяет и DNS, и список локальных адресов: тест не имеет
|
||||
* права зависеть ни от сети, ни от интерфейсов машины разработчика.
|
||||
*/
|
||||
function probe(options: { local: string[]; dns?: Record<string, string[] | "ENODATA"> }): EndpointProbe {
|
||||
function probe(options: {
|
||||
local: string[];
|
||||
dns?: Record<string, string[] | DnsFailureCode>;
|
||||
}): EndpointProbe {
|
||||
return {
|
||||
async resolve4(hostname) {
|
||||
const records = options.dns?.[hostname];
|
||||
if (records === undefined || records === "ENODATA") {
|
||||
const error = new Error(`queryA ENODATA ${hostname}`) as Error & { code?: string };
|
||||
error.code = "ENODATA";
|
||||
if (records === undefined || typeof records === "string") {
|
||||
const code: DnsFailureCode = typeof records === "string" ? records : "ENODATA";
|
||||
const error = new Error(`queryA ${code} ${hostname}`) as Error & { code?: string };
|
||||
error.code = code;
|
||||
throw error;
|
||||
}
|
||||
return records;
|
||||
@@ -33,7 +41,7 @@ const SECOND = "185.10.20.28";
|
||||
|
||||
describe("классификация IPv4", () => {
|
||||
test("публичные адреса распознаются", () => {
|
||||
for (const ip of ["1.1.1.1", "8.8.8.8", "185.10.20.27", "203.0.113.5"]) {
|
||||
for (const ip of ["1.1.1.1", "8.8.8.8", "185.10.20.27", "203.0.114.5"]) {
|
||||
expect(isRoutablePublicIpv4(ip)).toBe(true);
|
||||
}
|
||||
});
|
||||
@@ -56,6 +64,40 @@ describe("классификация IPv4", () => {
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* Регрессия: функция называлась «маршрутизируемый публичный IPv4», а список
|
||||
* исключений покрывал только приватные диапазоны. TEST-NET-3 (203.0.113.0/24)
|
||||
* — адрес из RFC-примеров, который нельзя назначить серверу, — проходил
|
||||
* проверку как обычный публичный адрес. Список приведён к IANA
|
||||
* Special-Purpose Address Registry.
|
||||
*/
|
||||
test("документационные и служебные диапазоны IANA исключаются", () => {
|
||||
for (const ip of [
|
||||
"192.0.0.1", // IETF protocol assignments
|
||||
"192.0.2.5", // TEST-NET-1
|
||||
"192.88.99.1", // 6to4 relay anycast
|
||||
"198.18.0.1", // benchmarking
|
||||
"198.19.255.254", // benchmarking, верхняя граница /15
|
||||
"198.51.100.5", // TEST-NET-2
|
||||
"203.0.113.5" // TEST-NET-3
|
||||
]) {
|
||||
expect(isRoutablePublicIpv4(ip), `${ip} должен быть исключён`).toBe(false);
|
||||
}
|
||||
});
|
||||
|
||||
test("границы специальных диапазонов не задевают соседей", () => {
|
||||
for (const ip of ["192.0.1.1", "192.0.3.1", "198.17.255.255", "198.20.0.1", "203.0.112.255"]) {
|
||||
expect(isRoutablePublicIpv4(ip), `${ip} не должен быть исключён`).toBe(true);
|
||||
}
|
||||
});
|
||||
|
||||
test("причина исключения называется в диагностике", () => {
|
||||
expect(nonPublicIpv4Range("203.0.113.5")).toContain("TEST-NET-3");
|
||||
expect(nonPublicIpv4Range("10.0.0.1")).toContain("private");
|
||||
expect(nonPublicIpv4Range("1.1.1.1")).toBeNull();
|
||||
expect(nonPublicIpv4Range("не адрес")).toBeNull();
|
||||
});
|
||||
|
||||
test("172.32.0.0 уже вне приватного диапазона", () => {
|
||||
expect(isRoutablePublicIpv4("172.32.0.1")).toBe(true);
|
||||
expect(isRoutablePublicIpv4("172.15.255.255")).toBe(true);
|
||||
@@ -262,6 +304,61 @@ describe("HY2XS_PUBLIC_ENDPOINT_POLICY", () => {
|
||||
}
|
||||
});
|
||||
|
||||
/**
|
||||
* Регрессия диагностики: любой отказ resolve4 печатался как
|
||||
* «has no A-record». При сломанном /etc/resolv.conf оператор шёл править
|
||||
* DNS-запись, которая на самом деле была на месте.
|
||||
*/
|
||||
test("отказ резолвера отличается от отсутствия записи", async () => {
|
||||
for (const code of ["SERVFAIL", "ETIMEOUT", "ECONNREFUSED"] as const) {
|
||||
const problems = await checkPublicEndpoint(
|
||||
baselineConfig(),
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": code } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("resolver_failure");
|
||||
expect(problems[0].message).toContain("DNS resolver failed");
|
||||
expect(problems[0].message).toContain(code);
|
||||
expect(problems[0].message).toContain("/etc/resolv.conf");
|
||||
expect(problems[0].message).not.toContain("has no A-record");
|
||||
}
|
||||
});
|
||||
|
||||
test("NXDOMAIN и ENODATA остаются отсутствием записи", async () => {
|
||||
for (const code of ["ENODATA", "ENOTFOUND"] as const) {
|
||||
const problems = await checkPublicEndpoint(
|
||||
baselineConfig(),
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": code } })
|
||||
);
|
||||
expect(problems).toHaveLength(1);
|
||||
expect(problems[0].kind).toBe("resolution");
|
||||
expect(problems[0].message).toContain("has no A-record");
|
||||
}
|
||||
});
|
||||
|
||||
// Ослаблять нечего и здесь: без ответа резолвера проверка не выполнена,
|
||||
// а не «выполнена с замечанием».
|
||||
test("отказ резолвера фатален при любой политике", async () => {
|
||||
for (const policy of ["strict", "warn", "off"]) {
|
||||
const config = baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: policy });
|
||||
await expect(
|
||||
assertPublicEndpoint(config, probe({ local: [CURRENT], dns: { "vpn.example.com": "SERVFAIL" } }))
|
||||
).rejects.toThrow(/DNS resolver failed/);
|
||||
}
|
||||
});
|
||||
|
||||
test("IPv4-литерал из документационного диапазона отклоняется с указанием причины", async () => {
|
||||
const literal = baselineConfig({
|
||||
HY2XS_PUBLIC_HOST: "203.0.113.5",
|
||||
HY2XS_DOMAIN: "vpn.example.com"
|
||||
});
|
||||
const problems = await checkPublicEndpoint(
|
||||
literal,
|
||||
probe({ local: [CURRENT], dns: { "vpn.example.com": [CURRENT] } })
|
||||
);
|
||||
expect(problems.some((problem) => problem.message.includes("TEST-NET-3"))).toBe(true);
|
||||
});
|
||||
|
||||
test("неизвестное значение политики отклоняется", () => {
|
||||
expect(() => baselineConfig({ HY2XS_PUBLIC_ENDPOINT_POLICY: "maybe" })).toThrow(
|
||||
/invalid HY2XS_PUBLIC_ENDPOINT_POLICY/
|
||||
|
||||
Reference in New Issue
Block a user