Безопасность прежде всего

Доступ к интерфейсу командной строки

Доступ к интерфейсу командной строки можно получить тремя способами.

varnishd можно настроить на прослушивание и предоставление подключений к интерфейсу командной строки по TCP-сокету. Вы можете привязать сокет практически к любому элементу, который будет принимать ядро:

-T 127.0.0.1:631
-T localhost:9999
-T 192.168.1.1:34
-T '[fe80::1]:8082'

По умолчанию это -T localhost:0, который выберет случайный номер порта, который varnishadm(8) может узнать из общей памяти.

Используя адрес «localhost», вы ограничиваете доступ к интерфейсу командной строки локальной машиной.

Вы также можете привязать порт интерфейса командной строки к IP-адресу, доступному в сети, и позволить другим машинам подключаться напрямую.

Это не обеспечивает конфиденциальности, т. е. команды интерфейса командной строки будут передаваться по сети как текстовые ASCII-строки без шифрования, но аутентификация -S/PSK требует, чтобы удаленный конец знал общий секрет.

В качестве альтернативы, вы можете привязать порт интерфейса командной строки к адресу «localhost» и предоставить удаленным пользователям доступ через защищенное подключение к локальной машине, используя ssh/VPN или аналогичное решение.

Если вы используете ssh, вы можете ограничить команды, которые каждый пользователь может выполнить, только varnishadm, или даже использовать обёртку скриптов над varnishadm, чтобы разрешить определенные команды интерфейса командной строки.

Также возможно настроить varnishd для «реверсивного режима» с помощью аргумента «-M». В этом случае varnishd попытается открыть TCP-соединение с указанным адресом и инициировать подключение к интерфейсу командной строки к центральному средству управления Varnish.

Подключение в этом случае также не защищено шифрованием, но удаленный конец должен все равно пройти аутентификацию с помощью -S/PSK.

Наконец, если вы запускаете varnishd с опцией «-d», вы получаете команду интерфейса командной строки на stdin/stdout, но поскольку вы запустили процесс, будет сложно предотвратить получение вами доступа к интерфейсу командной строки, не так ли?

Аутентификация интерфейса командной строки

По умолчанию интерфейс командной строки защищен простым, но эффективным методом аутентификации «Pre Shared Key», который не обеспечивает конфиденциальности (т. е. команды и ответы интерфейса командной строки не шифруются).

Способ работы -S/PSK очень прост: во время запуска создается файл с случайным содержимым, и этот файл доступен только пользователю, который запустил varnishd (или суперпользователю).

Для аутентификации и использования подключения к интерфейсу командной строки вам необходимо знать содержимое этого файла, чтобы ответить на криптографический запрос, который varnishd выдает, см. Аутентификация подключений CLI.

varnishadm использует все это для ограничения доступа, он будет работать только в том случае, если сможет прочитать секретный файл.

Если вы хотите разрешить другим пользователям, локальным или удаленным, доступ к подключениям к интерфейсу командной строки, вы должны создать свой собственный секретный файл и сделать его доступным только для этих пользователей для чтения.

Хороший способ создания секретного файла:

dd if=/dev/random of=/etc/varnish_secret count=1

При запуске varnishd, вы указываете имя файла с помощью «-S», и само собой разумеется, что мастер-процесс varnishd должен иметь возможность читать этот файл.

Вы можете изменить содержимое секретного файла во время работы varnishd, оно читается каждый раз при аутентификации подключения к интерфейсу командной строки.

В локальной системе varnishadm может получить имя файла из общей памяти, но в удаленных системах вам необходимо предоставить varnishadm копию секретного файла с аргументом -S.

Если вы хотите отключить аутентификацию -S/PSK, укажите «-S» с пустым аргументом для varnishd:

varnishd [...] -S "" [...]

Параметры

Параметры можно установить из командной строки и сделать их «только для чтения» (используя «-r»), чтобы их нельзя было впоследствии изменить из интерфейса командной строки.

Практически любой параметр может полностью испортить вашу HTTP-службу, но некоторые из них могут нанести больше вреда, чем другие:

cc_command

Выполнение произвольных программ

vcc_allow_inline_c

Разрешение встроенного C в VCL, что позволит выполнить любой код C из VCL в Varnish.

Кроме того, вы можете проверить и заблокировать:

syslog_cli_traffic

Записывать все команды интерфейса командной строки в syslog(8), чтобы вы знали, что происходит.

vcc_unsafe_path

Ограничить VCL/VMOD до vcl_path и vmod_path

vmod_path

Директория (или список директорий, разделенных двоеточием), в которой Varnish будет искать модули. Это потенциально может быть использовано для загрузки вредоносных модулей в Varnish.