Ailtireacht slándála Odoo 19: balla dóiteáin, 2FA, ceadanna agus Web RBL a chomhcheangal i gceart

Tá Odoo inrochtana ón idirlíon oscailte ar ár gcúig shuíomh gréasáin, agus ní eisceacht é sin ach an gnáthchás: an té a reáchtálann tairiscint, siopa nó logáil isteach custaiméara, tá freastalaí poiblí aige. Is leor aon phasfhocal leochaileach amháin, comhad cumraíochta a ndearnadh dearmad air nó ceadú rómhaith chun freastalaí poiblí a dhéanamh ina fhreastalaí oscailte.

Taispeánann an t-alt seo conas Odoo 19 a dhaingniú i gceart — ní le beart amháin, ach le roinnt sraitheanna a chomhlánaíonn a chéile: balla dóiteáin agus reverse proxy, ár modúl foinse oscailte Web RBL, fíordheimhniú dhá fhachtóir, beartas pasfhocal agus ceadanna — agus cé na hiarrachtaí ionsaithe a ghabhann gach ceann acu i ndáiríre. Ag an deireadh tá treoir céim ar chéim a ligeann do gach suiteáil Odoo féin a leanúint.

Cosaint in doimhneacht: cén fáth nach leor beart amháin riamh

Tá bearna i ngach beart slándála. Ní fheiceann balla dóiteáin cad a tharlaíonn i bhfoirm logála isteach Odoo. Ní chosnaíonn pasfhocal láidir má goideadh cheana féin áit éigin eile é. Ní chabhraíonn struchtúr ceadanna le hionsaitheoir nár logáil isteach fós ar chor ar bith. An prionsabal a dhúnann na bearnaí seo, tugtar cosaint in doimhneacht air (defense in depth): roinnt sraitheanna neamhspleácha, a bhféadfaí gach ceann acu astu féin a sheachaint — ach nach bhféadfaí iad go léir le chéile a sheachaint.

Tá ceithre shraith againn, gach ceann acu le tasc éagsúil:

• Balla dóiteáin / reverse proxy — coinníonn sé an t-ábhar soiléir mailíseach amach sula sroicheann sé an freastalaí ar chor ar bith
• Web RBL — ceanglaíonn sé an dá thaobh: foghlaimíonn Odoo ón loga iarratais féin an méid nach bhfeiceann an balla dóiteáin in aon chor, agus cothaíonn sé ar ais chuige é
• Odoo féin — fíordheimhniú dhá fhachtóir, beartas pasfhocal, ceadanna, bainistiú seisiún
• Bunachar sonraí & oibriú — cúltaca, cosaint rochtana ar an mbainistíocht, rúin lasmuigh de gach loga

Téann na hailt seo a leanas trí gach sraith ar leith.

Sraith 1: balla dóiteáin agus reverse proxy

Is é an balla dóiteáin an chéad phointe a fheiceann iarratas, agus an t-aon cheann is féidir leis ionsaitheoir a choinneáil amach ó gach seirbhís ar an bhfreastalaí — ní hamháin ón suíomh gréasáin, ach ón bhfreastalaí ríomhphoist, ón rochtain VPN agus ón gcomhéadan bainistíochta féin freisin. An méid a chuirtear ar siúl go ciallmhar san áit seo, braitheann sé ar an monaróir, ach tá na foirmeacha tógála mar a chéile le OPNsense, pfSense, HAProxy, FortiGate, Sophos nó Check Point:

Liostaí RBL: an gnáthbhealach ina seachadtar cáil

Seasann RBL do Real-time Blackhole List, téarma ón domhan ríomhphoist: seoladh amháin in aghaidh na líne, inrochtana trí HTTP, athluchtaithe go rialta. Is féidir le beagnach gach balla dóiteáin liosta den sórt sin a léamh agus rialacha a thógáil uaidh — OPNsense agus pfSense mar URL Table Alias, HAProxy mar chomhad ACL, FortiGate mar External Block List, Palo Alto mar External Dynamic List, Cisco, Sophos, Juniper agus MikroTik le hainmneacha dá gcuid féin don phrionsabal céanna.

Anseo go beacht a bhuaileann ár modúl féin — agus anseo go beacht a thosaíonn an dara sraith.

Sraith 2: Web RBL — an droichead idir an t-iarratas agus an balla dóiteáin

Feiceann balla dóiteáin pacáistí, ní loighic iarratais. Níl a fhios aige gur iarracht logála isteach é iarratas ar /xmlrpc/2/common, gur scanóir iad fiche cosán éagsúil i gceithre shoicind déag, nó go bhfuil seoladh díreach tar éis pasfhocal a thomhas go rathúil. Ní fios é seo ach d’Odoo féin. Web RBL, ár modúl foinse oscailte féin (AGPL-3), cuireann sé an t-eolas seo in úsáid — d’Odoo féin agus, seachadta mar liosta RBL, don bhalla dóiteáin roimhe freisin.

Liostaí bagairtí comhréitithe go leanúnach, gach ceann le leibhéal dá chuid féin.

Achoimre ghairid ar an méid atá curtha síos air go mion san alt roimhe seo:

• Aithint patrún i gcosáin: comhaid .env, eolairí .git, comhaid chumraíochta, sonda WordPress agus PHP, trasnú cosáin, forghníomhú orduithe trí chomhéadain nua AI
• Cosaint logála isteach a chomhaireann thar atosuithe — murab ionann agus cuntar Odoo féin, a mhaireann sa chuimhne oibre
• Scór do gach seoladh ó 0 go 100, le bunús i dteanga shoiléir
• Mícumraíochtaí (QNAP, Autodiscover, Synology) aithnítear iad agus ní bhlocáiltear choíche iad, mar ní leigheasann bloc an locht, ní dhéanann sé ach é a fholú
• Liostaí bagairtí eachtracha ar nós Spamhaus, FireHOL agus nóid scoir Tor, comhréitithe go leanúnach
• Liosta ceadaithe do sheoltaí nár cheart a bhlocáil choíche

Don alt seo tá dhá airí thar a bheith tábhachtach, mar go mbaineann siad go díreach leis an mballa dóiteáin agus leis an logáil isteach.

Liosta mall is liosta ar féidir muinín a bheith ann

Is annamh a athraíonn an liosta ceadaithe — seoltaí nach mblocáiltear choíche, mar shampla naisc láithreán féin. Sin go beacht a luach, ní a lochtanna: nuair a bhogann liosta ciúin go beag thar laethanta, tarraingíonn gach athrú annamh aird láithreach. Ní ann don nuashonrú uathoibríoch laethúil toisc go n-athródh go leor, ach ionas nach gá an t-athrú annamh a chur isteach de láimh — agus sin go beacht an pointe ina ndéantar dearmad air. Tugadh faoi deara ceann dár mícumraíochtaí féin an mhí seo caite ar an mbealach seo go beacht: ní trí go leor imeachtaí, ach tríd an gceann a raibh aithne ag duine air go dtí gur blocáladh API gréasáin QNAP custaiméara go hearráideach. Ó shin i leith tá QNAP ar an liosta mícumraíochtaí nach mblocáiltear choíche, ach a thuairiscítear amháin.

Is í an logáil isteach an áit nach bhfeiceann balla dóiteáin

Is féidir le balla dóiteáin seoladh a bhlocáil. Ní féidir leis a fháil amach ar éirigh le logáil isteach, agus ní thig leis a fháil amach ar tháinig sí ó sheoladh a bhí ag lorg sonraí logála isteach tamall gairid roimhe sin. Is féidir le Web RBL: toirmisceann scór ó thairseach is féidir a shocrú an logáil isteach ar fad, agus tuairiscítear logáil isteach rathúil ó sheoladh amhrasach — is é sin an nasc leis an gcéad sraith eile.

Sraith 3: Odoo féin a dhaingniú

Fíordheimhniú dhá fhachtóir: an dara rún nach féidir a athúsáid

Ní hé an fhadhb is mó le pasfhocail a gcáilíocht, ach a n-athúsáid. Oibríonn pasfhocal a goideadh ag seirbhís eile linn freisin, chomh fada agus is é an pasfhocal céanna é. Cuireann fíordheimhniú dhá fhachtóir (2FA, ar a dtugtar TOTP freisin) dara rún ina choinne sin: cód sé dhigit a athraíonn gach tríocha soicind agus a ríomhtar as rún nach bhfuil ar eolas ach ag an bhfón cliste féin. Ní leor pasfhocal goidte amháin a thuilleadh mar sin.

Tá sé seo ionsuite in Odoo 19 Community — mar mhodúl suiteáilte Two-Factor Authentication (TOTP), curtha leis rogha chúltaca ríomhphoist. Socraíonn gach úsáideoir dó féin é, le cód QR, le haon aip fíordheimhnithe choiteann:

An tsocrú: cód QR a scanadh, cód sé dhigit a dheimhniú uair amháin, sin é.

Ach ní chabhraíonn sé seo ach leo siúd a shocraíonn é dóibh féin — agus léiríonn taithí gur lucht mionlaigh a fhanann siad gan éigeantas. Mar sin tá beartas forfheidhmithe ag Odoo: ar fhostaithe amháin (úsáideoirí inmheánacha) nó ar gach duine, úsáideoirí portail san áireamh. Gan an dara rún a shocrú, ní théann aon duine thar an bhfoirm logála isteach gan é a dheimhniú ar a laghad le cód ríomhphoist.

Beartas pasfhocal: ní rud a thuigtear de réir a chéile é íosfhad

Gan modúl breise ní bhraitheann Odoo Community ar íosfhad ar bith do phasfhocail — is féidir le húsáideoir pasfhocal de thrí charachtar a thabhairt, mura gcuireann aon duine cosc air. Dúnann ár modúl Password Policy féin an bhearna seo go beacht: íosfhad a fhorfheidhmítear ar thaobh an fhreastalaí, nach moltar sa bhrabhsálaí amháin. An té ar mian leis níos mó — am éaga éigeantach, stair i gcoinne athúsáide — teastaíonn modúl OCA nó tríú páirtí uaidh; coinníodh é sin caol d’aon ghnó sa leagan Community.

Ceadanna: ní fhaigheann rochtain ach an té a bhfuil sé de dhíth air

Scarann Odoo trí leibhéal go réamhshocraithe: úsáideoirí portail (ach portal custaiméara nó soláthraí féin), úsáideoirí inmheánacha (an backend, le cearta in aghaidh an iarratais) agus riarthóirí (rochtain gan srian lena n-áirítear socruithe teicniúla). Ní pasfhocal rólag an earráid is minice, ach ról riarthóra a tugadh rómhaith: an té nach gá dó ach sonraisc a chruthú, ní gá dó rochtain ar na socruithe córais.

Iompraíonn dhá phrionsabal an chuid is mó den ualach:

Is féidir an dá rud a sheiceáil sa radharc céanna ina socraítear an fíordheimhniú dhá fhachtóir freisin:

Forbhreathnú amháin, ceithre luamhán: pasfhocal, dara fachtóir, eochair API, gléasanna logáilte isteach.

Seisiúin agus gléasanna: cé atá logáilte isteach faoi láthair

Taispeánann an radharc céanna freisin ó cé na gléasanna a bhfuil cuntas logáilte isteach faoi láthair — agus ceadaíonn sé ceann amháin nó iad go léir a logáil amach ag an am céanna. Tar éis ríomhaire glúine caillte nó amhras faoi phasfhocal i gcontúirt, is é sin an chéim éifeachtach is tapúla: críochnaíonn an seisiún láithreach, is cuma ar athraíodh an pasfhocal cheana nó nár athraíodh.

Sraith 4: bunachar sonraí agus oibriú

Is í an cheathrú sraith an ceann is lú infheicthe agus an ceann is neamhmhaithiúnaí san am céanna, mar is féidir le hearráid anseo gach a tógadh roimhe a chur ar neamhní.

• Cúltacaí rialta, seiceáilte, stóráilte scartha ón bhfreastalaí féin. Is tuaiscint é cúltaca nár athchóiríodh riamh, ní cúltaca.
• Ní bhaineann rúin le comhad loga ar bith. Pasfhocail, eochracha API, sonraí ceadúnais — an té a scríobhann síntí dá chuid féin, ba cheart dó iad a láimhseáil mar an príomh-phasfhocal féin: gan iad a thaifeadadh in áit ar bith, fiú “le haghaidh dífhabhtaithe amháin”.
• Modúil a choinneáil cothrom le dáta, tríú páirtí san áireamh go háirithe. Is nádúrtha go bhfuil modúil bhreise saor in aisce (OCA agus eile) taobh thiar de leaganacha nua Odoo; sula suiteáiltear aon cheann, is fiú breathnú ar na spleáchais a thagann leo go huathoibríoch.

An bealach logála isteach ina iomláine

Ní oibríonn na ceithre shraith ceann i ndiaidh a chéile i seomraí ar leith, ach ar an iarratas céanna, céim ar chéim. Is soiléire é seo ar shampla logála isteach:

Cúig áit inar féidir le hiarratas mailíseach teacht chun críche sula sroicheann sé an sprioc cheart — agus aon áit amháin ina n-éiríonn le húsáideoir údaraithe iad go léir a rith.

Cásanna ionsaithe agus a gcosaint

Cuireann an forbhreathnú seo a leanas patrúin ionsaithe fíor leis na sraitheanna a stopann iad i ndáiríre. Ní teoiric atá i gcuid acu, ach breathnuithe dár gcuid féin ó sheacht lá déag de fhíor-thrácht ar ár gcúig shuíomh gréasáin.

Céim ar chéim: do shuiteáil Odoo féin a dhaingniú

Is é an t-ord seo a leanas an t-ord a leanfaimis féin — ón éifeacht is mó go dtí an socrú is míne.

1. Fíordheimhniú dhá fhachtóir a fhorfheidhmiú

1. Mura bhfuil sé suiteáilte fós: oscail Apps, cuardaigh “Two-Factor Authentication” agus suiteáil é (le roinnt suíomh gréasáin moltar “Two-Factor Authentication by Mail” a shuiteáil ina theannta mar rogha chúltaca).
2. Oscail Socruithe → Socruithe Ginearálta → Ceadanna.
3. Gníomhachtaigh “Fíordheimhniú dhá fhachtóir a fhorfheidhmiú”.
4. Roghnaigh beartas: “Fostaithe amháin” d’úsáideoirí inmheánacha, “Gach úsáideoir” más mian úsáideoirí portail (custaiméirí le rochtain) a áireamh freisin.
5. Sábháil. Ón gcéad iarracht logála isteach eile éilíonn Odoo ar gach úsáideoir nach bhfuil an dara rún socraithe aige an cód ríomhphoist ar a laghad, go dtí go mbeidh an aip fíordheimhnithe socraithe aige.

2. Íosfhad do phasfhocail a shocrú

1. Oscail Apps, cuardaigh “Password Policy” agus suiteáil é.
2. Oscail Socruithe → Socruithe Ginearálta → Ceadanna.
3. Socraigh “Íosfhad an phasfhocail” — is luach tosaigh réasúnta é dhá charachtar déag.
4. Sábháil. Tá an riail bailí ón nóiméad seo do gach pasfhocal nua nó athraithe a thugtar, ní go siarghabhálach do phasfhocail atá ann cheana.

3. Ceadanna a athbhreithniú

1. Oscail Socruithe → Úsáideoirí & Cuideachtaí → Úsáideoirí.
2. Oscail gach úsáideoir ar leith agus seiceáil an cluaisín leis na cearta rochtana in aghaidh an iarratais: An bhfuil “Bainisteoir” nó “Riarthóir” de dhíth ar an duine seo i ndáiríre, nó an leor “Úsáideoir”?
3. Seiceáil go háirithe: Cé a bhfuil rochtain aige ar “Socruithe” féin? Ba cheart go mbeadh sin grúpa an-bheag.
4. Do gach nasc seachtrach (cuntasaíocht, scripteanna féin, taifeadadh ama) i gcluaisín “Slándáil cuntais” an úsáideora theicniúil faoi seach cruthaigh eochair API ar leith, in ionad pasfhocal an úsáideora a thabhairt ar aghaidh.

4. Web RBL a shuiteáil agus breathnú sula gcuirtear ar siúl go hiomlán é

1. Cuir an modúl ó github.com/Alex0176/odoo-web-rbl isteach sa chosán addon agus suiteáil é.
2. Breathnaigh ar feadh roinnt laethanta: taispeánann roghchlár Web RBL → Anailís cé na patrúin a oibríonn i ndáiríre.
3. Ansin amháin web_rbl.sperren_aktiv a chur ar siúl (Socruithe → Teicniúil → Paraiméadair Chórais) — ón bpointe seo diúltaítear sonda aitheanta i ndáiríre.
4. Cuir an bloclíosta isteach sa bhalla dóiteáin mar liosta RBL ag an seoladh atá cosanta le comhartha agus atá luaite sa mhodúl (le OPNsense/pfSense mar URL Table Alias, le HAProxy mar chomhad ACL).

5. An balla dóiteáin féin a dhaingniú

1. Déan comhéadan bainistíochta an bhalla dóiteáin inrochtana ón líonra inmheánach amháin, riamh tríd an seoladh poiblí céanna leis an suíomh gréasáin.
2. Gníomhachtaigh nuashonruithe slándála uathoibríocha do bhogearraí an bhalla dóiteáin, má thairgeann an monaróir é.
3. Seiceáil an chumraíocht TLS: leaganacha reatha prótacail amháin, modhanna criptithe as dáta a dhíghníomhachtú.
4. Má tá sé ar fáil: liosta cáil aitheanta (mar shampla Spamhaus DROP) a chur isteach go díreach ar an mballa dóiteáin — neamhspleách ar Web RBL, mar feiceann an balla dóiteáin trácht chuig seirbhísí nach sroicheann Odoo riamh dá bharr.

6. Bainistiú an bhunachair sonraí a dhúnadh

1. Seiceáil an bhfuil /web/database/manager inrochtana ón taobh amuigh — má tá, socraigh list_db = False i gcumraíocht Odoo nó blocáil an cosán ar leibhéal an bhalla dóiteáin.
2. Socraigh príomh-phasfhocal bhainistiú an bhunachair sonraí fada agus randamach agus ná nótáil in áit ar bith é ar féidir le duine ar bith eile a léamh.

7. An cúltaca a sheiceáil, ní hamháin a shocrú

1. Socraigh cúltaca uathoibríoch rialta, stóráilte scartha ó fhreastalaí Odoo.
2. Athchóirigh uair amháin ar a laghad i ndáiríre agus seiceáil an n-oibríonn an t-athchóiriú — is tuaiscint é cúltaca gan seiceáil.

Ní chuireann aon cheann de na céimeanna seo ceann eile ina n-áit. An té nach gcuireann i bhfeidhm ach ceann amháin, neartaigh sé doras amháin agus d’fhág gach ceann eile oscailte — an té a chuireann i bhfeidhm na seacht gcinn go léir, tá cosaint aige a sheasann fiú nuair a theipeann ar shraith aonair.

An rud nach gcuireann an ailtireacht seo ina áit

Ní fhágann aon cheann de na bearta a ndearnadh cur síos orthu cúram gan ghá. Ní dhéanann modúl a dhiúltaíonn sonda .env comhad .env a foilsíodh de thaisme neamhdhíobhálach. Ní chosnaíonn fíordheimhniú dhá fhachtóir ar úsáideoir a léann a chód amach do ghlaoiteoir ar an teileafón. Agus ní thagann balla dóiteáin in ionad cinneadh faoi cé a bhfuil cén cead de dhíth air i ndáiríre. Cruthaíonn ailtireacht slándála na coinníollacha ina mbíonn earráid aonair gan a bheith ina teagmhas láithreach — ní bhaineann sí an cúram de dhuine ar bith.

Ceisteanna Coitianta

An leor pasfhocal láidir chun Odoo 19 a dhaingniú?

Ní leor. Is féidir pasfhocal a ghoid áit éigin eile, is cuma cén cháilíocht atá aige, agus oibríonn sé ansin ag gach seirbhís a ghlacann leis an bpasfhocal céanna. Ní bhíonn cosaint ann a sheasann fiú tar éis pasfhocal goidte ach amháin leis an gcomhcheangal le fíordheimhniú dhá fhachtóir, balla dóiteáin roimhe agus struchtúr ceadanna ciallmhar.

Conas a ghníomhachtaím fíordheimhniú dhá fhachtóir in Odoo 19?

Suiteáil an modúl “Two-Factor Authentication (TOTP)” tríd an mbainistiú Apps, gníomhachtaigh ansin an fhorfheidhmiú faoi Socruithe → Socruithe Ginearálta → Ceadanna agus roghnaigh idir “Fostaithe amháin” agus “Gach úsáideoir”. Socraíonn gach úsáideoir a dhara fachtóir féin ansin le cód QR.

Cad is liosta RBL ann, agus cén fáth a dteastaíonn ceann ó Odoo?

Is liosta seoltaí é RBL (Real-time Blackhole List) inrochtana trí HTTP ar féidir le beagnach gach balla dóiteáin é a léamh. Ní sholáthraíonn Odoo féin liosta den sórt sin — dúnann ár modúl Web RBL an bhearna seo trí thrácht ionsaithe a aithint ón loga iarratais féin agus é a thabhairt ar ais mar liosta RBL don bhalla dóiteáin roimhe.

An bhfuil Odoo 19 Community daingnithe go leordhóthanach gan modúil bhreise?

Níl go hiomlán. Gan an modúl Password Policy níl aon íosfhad do phasfhocail ann, gan Two-Factor Authentication níl aon dara fachtóir ann, agus gan modúl ar nós Web RBL ní aithníonn Odoo iarrachtaí sondála ná iarrachtaí athfhillteacha logála isteach thar atosú. Is féidir na ceithre cinn a chur leis saor in aisce.

Infhaighteacht

Tá Web RBL ar fáil go poiblí faoin AGPL-3 agus ritheann sé inár gcuid féin i dtáirgeadh ar chúig shuíomh gréasáin:

github.com/Alex0176/odoo-web-rbl

Tá an cur síos iomlán ar na feidhmeanna le gach patrún, an scór agus na liostaí bagairtí san alt roimhe seo: Web RBL – bloclíosta do thrácht ionsaithe ar do shuíomhanna gréasáin féin.

Fáilteoimid roimh cheisteanna, tuairimí agus tuairiscí earráide — is fearr mar Issue ar GitHub.