OpenVPN-Monitoring-Simple/DOCS/Operations/PLAN-validation-and-privilege-drop.md

# План: валидация настроек (п.1) и запуск API не от root (п.2)

Дата: 2026-09-30. Узел: 213.226.125.13 (Alpine, OpenRC). Приложение: `/opt/OpenVPN-Monitoring-Simple`.
Основание: SUMMARY-ovpn-monitor.md, раздел 6.5 — администратор панели фактически равен root, т.к. Profiler работает от root, а настройки без проверки попадают в `server.conf`.

## Исходные факты
- `APP_CORE` (API, gatherer) root не нужен: читает `openvpn-status.log`, пишет свою SQLite-БД и лог.
- Profiler требует root только для: записи `/etc/openvpn/server.conf`, `rc-service openvpn`, чтения PKI-файлов самим OpenVPN.
- В коде уже есть fallback `staging/server.conf`.
- В шаблоне `script-security 2` стоит внутри `{% if user_defined_cdscripts %}`.
- `doas` установлен; конфигурация только `permit nopass :wheel`.

## Пункт 1. Валидация настроек (3 слоя)

**Слой A. Схемы (`APP_PROFILER/schemas.py`)** — валидаторы только на `*Update`-схемах (старые значения из БД не ломают `GET`).

| Поле | Правило |
|---|---|
| `port`, `management_port` | 1–65535 |
| `vpn_network`, `vpn_netmask` | `ipaddress`: сеть и корректная маска |
| `split_routes[]` | CIDR или «сеть маска», нормализация через `ipaddress` |
| `dns_servers[]` | IPv4/IPv6 через `ipaddress` |
| `public_ip` | IP или hostname по маске, без пробелов и кавычек |
| `management_interface_address` | только loopback |
| `tun_mtu` / `mssfix` | 576–9000 / 536–1500 |
| `connect_script`, `disconnect_script` | пусто или `^/etc/openvpn/scripts/[A-Za-z0-9_.-]{1,64}$` |
| PKI `fqdn_ca`, `fqdn_server` | маска как у `username` |
| PKI `easyrsa_dn` | `cn_only` или `org` |
| PKI `req_country` | `^[A-Z]{2}$` |
| PKI `req_province/city/org/ou` | `^[A-Za-z0-9 .,_-]{0,64}$` |
| PKI `req_email` | простая маска email |
| PKI `key_size` | 2048 / 3072 / 4096 |
| PKI сроки | целые в разумных пределах |

**Слой B. Скрипты (`routers/server.py`, до генерации):** `realpath` внутри `/etc/openvpn/scripts/`, файл существует, владелец root, нет прав записи для group/other.

**Слой C. Генератор (`services/generator.py`):** перед записью проверить, что ни одно значение не содержит `\n`, `\r`, `"`, `\`; иначе ошибка и файл не пишется.

Тесты: невалидные значения (перевод строки в DNS, `../` в скрипте, `/` в организации, порт 0) → 422; валидный набор → 200 и корректный `server.conf`.

## Пункт 2. Profiler и API не от root

Схема: пользователь `ovpmon` + маленький root-помощник, сам валидирующий конфиг (защита в глубину: инъекция в конфиг не даёт root даже при обходе слоёв A–C).

1. **Пользователь и права.** Системный `ovpmon`. Владелец: `/var/lib/ovpmon`, `/var/log/ovpmon`, `APP_PROFILER/{easy-rsa,client-config,staging,*.db,profiler.log}`, `APP_CORE/{*.db,*.log}`. `pki/`: каталоги 755, `crl.pem` 644, приватные ключи 600. Код и `venv` остаются root-owned. `/etc/ovpmon/env` остаётся root 600.
2. **OpenRC:** `command_user="ovpmon:ovpmon"` в `ovpmon-*`.
3. **Помощник `/usr/local/sbin/ovpmon-helper`** (root, 755, Python). Подкоманды без пользовательских аргументов:
   - `install-config`: читает только `/var/lib/ovpmon/staging/server.conf` (один раз в память, защита от TOCTOU), проверяет allowlist директив (запрещены `up`, `down`, `plugin`, `route-up`, `tls-verify`, `auth-user-pass-verify`, `learn-address`, неизвестные; `client-connect/disconnect` и `script-security` — только со скриптом из `/etc/openvpn/scripts/` с проверкой владельца и прав), пишет `/etc/openvpn/server.conf` атомарно (root:root 644).
   - `service start|stop|restart|status` только для `openvpn`.
4. **`doas`:** `/etc/doas.d/ovpmon.conf`, точные `args` для каждой подкоманды.
5. **Код Profiler:** на хосте `services/process.py` и `routers/server.py` вызывают `doas ovpmon-helper …`; ветка контейнера и `staging` не меняются.
6. **`APP_CORE`:** только смена владельца и `command_user`.
7. **Каталог скриптов:** `/etc/openvpn/scripts/` root:root 755, по умолчанию пустой.

### Порядок
1. Бэкап `/etc/openvpn`, БД, `/etc/init.d/ovpmon-*`, код, `easy-rsa/`.
2. Слои A–C + тесты, перезапуск Profiler.
3. Пользователь, `chown`, помощник, `doas`; ручная проверка помощника.
4. Переключить `process.py` и `server.py` на помощник.
5. Переключить init-скрипты на `command_user`, перезапускать по одному.
6. Обновить документацию и SUMMARY, отдельные коммиты.

### Проверка (п.2)
- `ps`: Profiler и API под `ovpmon`.
- От `ovpmon`: нет доступа к `/etc/shadow`, `/root`, `/etc/hysteria/*.yaml`, запись в `/etc/openvpn` запрещена.
- UI: Initialize PKI, генерация и запись конфига, Start/Stop/Restart OpenVPN, создание/скачивание/отзыв профиля, мониторинг.
- Инъекция директивы в `staging/server.conf` отвергается помощником, `/etc/openvpn/server.conf` не меняется.
- Прямые вызовы `doas` с другими аргументами отклоняются.
- OpenVPN-клиент подключается и выходит через hel.
- Не сломаны fail2ban, HTTPS 8088, `ip rule 102`.

## Риски
| Риск | Смягчение |
|---|---|
| Сервис не стартует из-за прав | бэкап, `chown` до переключения, откат правкой init-скриптов |
| Allowlist блокирует легальный конфиг | первый прогон в режиме проверки без записи; список директив из `server.conf.j2` |
| Ошибка в `doas` `args` | негативные тесты от `ovpmon`, запасная root-SSH-сессия |
| Потеря ключей PKI | копия `easy-rsa/` перед `chown` |

## Статус
- Пункт 1 — реализован (2026-09-30), см. SUMMARY раздел 6.6 и DOCS/Changes/2026-09-30_Settings_Validation.md.
- Пункт 2 — реализован (2026-09-30), см. IMPLEMENTATION-02-privilege-separation.md и DOCS/Changes/2026-09-30_Privilege_Separation.md.