Kloon 'n VPN-bedienerbeeld sonder om sy identiteit te kloon

Die beeld begin, die diens start, en kliënte verbind. Dit is die oomblik om te stop en te vra watter van twee baie verskillende bewerkings pas gebeur het. Óf die kopie herstel een logiese gateway wat voorheen bestaan het, óf dit voeg 'n tweede gateway by die vloot. Albei is geldig, en hulle het verskillende gevolge vir identiteit en toegang. 'n Masjien wat skoon opkom, bewys nie een van die twee nie.

Drie voorwaardes bepaal die antwoord, en dit is die drie bakke materiaal wat 'n beeld kan dra. Sorteer hulle voordat die beeld gebou word, nie nadat dit twee keer ontplooi is nie.

Besluit eers watter van die twee bewerkings jy doen

'n Herstel behou een diensidentiteit. Die ou instansie is weg, die naam en sertifikaat bly, en kliënte vertrou steeds dieselfde eindpunt. 'n Byvoeging skep 'n tweede identiteit wat kliënte, logboeke en herroeping almal moet onderskei.

Die onderskeid is nie kosmeties nie. As twee lewende gashere dieselfde gateway-sertifikaat aanbied, kan 'n kliënt hulle nie uitmekaar hou nie, 'n ouditspoor ook nie, en die herroeping van daardie sertifikaat verwyder albei gelyktydig. Dit is dalk presies wat 'n doelbewuste hoë-beskikbaarheid-ontwerp wil hê, en dit is selde wat 'n haastige beeldkopie beoog.

Dus is die eerste besluit 'n sin, neergeskryf voordat die beeld die bougasheer verlaat: hierdie kopie herstel gateway A, of hierdie kopie word gateway B. Alles daarna is boekhouding teen die sin. As niemand dit kan neerskryf nie, is die kopie nie gereed om gebou te word nie.

Herbruikbare insette, identiteit en gesag, ontplooiingstoestand

Die herbruikbare bak is die maklike een: pakkette, nagegane konfigurasie sonder geheime, dienssjablone, verhardingsinstellings. Dit is waarvoor 'n beeld werklik goed is, en dit kan onbeperk herproduseer word.

Die identiteit-en-gesag-bak is waar kopieë verkeerd loop. 'n Gateway se private sleutel en sertifikaat identifiseer daardie gateway by elke kliënt. Die sertifikaatowerheid se ondertekeningsleutel is 'n ander objek met 'n ander mag: dit gee identiteite uit. Om 'n uitreiker te vertrou beteken nie elke nuwe gateway het die vermoë om uit te reik nie, en om die ondertekeningsleutel in 'n beeld te stuur, gee daardie vermoë aan alles wat die beeld kan lees.

Die ontplooiingstoestand-bak is die een wat mense vergeet omdat dit soos konfigurasie lyk. Luisteraarreste, adrespoele, gestuurde roetes, resolver-instellings en plaaslike integrasie kodifiseer almal aannames oor die eerste gasheer. 'n Tweede node wat hulle kopieer, kan uit 'n poel toeken wat 'n ander gateway reeds besit, of kliënte na 'n hulpbron wys wat net langs die oorspronklike bestaan.

Wat 'n nuwe node moet kry, en van wie

'n Onafhanklik bestuurde node behoort sy eie geloofsbriewe deur die goedgekeurde inskrywingsproses te ontvang, met die ondertekeningsbewerking waar die ondertekeningsleutel woon eerder as op die nuwe gasheer. Teken aan watter identiteit onttrek kan word sonder om die ander nodes te steur; as die antwoord "almal" is, het die ontwerp een identiteit wat voorgee dat dit twee is.

Netwerkwwardes verdien dieselfde behandeling. Kies 'n poel, 'n luisteraaradres en 'n stel gestuurde roetes wat nie met die bestaande gateway bots nie, en skryf hulle in die voorsieningsinsette eerder as in die beeld. Die inset is nagegaanbaar; die beeld is nie.

Daar is 'n geldige middelslag. 'n Ondersteunde herstel- of replikasie-ontwerp kan doelbewus een logiese diensidentiteit oor gashere hou, met beheerde toegang tot die ou kopie en 'n rotasieplan. Dit is 'n besluit met 'n eienaar, nie 'n verstek wat gebeur omdat die beeld gerieflik was nie.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Die eerste opdrag vertel watter identiteit die node werklik aanbied en wie dit onderteken het. Die tweede is 'n begininventaris, nie 'n bewys nie: private materiaal kan buite daardie gids leef, binne 'n toepassingsdatabasis, of in 'n momentopname-laag wat die lopende lêerstelsel nie meer wys nie.

Wat 'n kopie van die beeld stilweg dra

Om 'n lêer uit die nuutste weergawe van 'n beeld te verwyder, verwyder dit nie uit ouer weergawes, laagkasgeheue of die momentopnames wat geneem is terwyl dit bestaan het nie. Daarom moet beelde met geloofsbriewe as sensitiewe objekte behandel word vir hul hele leeftyd, nie net op die oomblik dat hulle gebou word nie.

Kontroleer die beeldinhoud en die voorsieningsinsette as afsonderlike vrae. Die beeld beantwoord "wat is binne hierdie artefak", terwyl die insette antwoord "wat sal hierdie instansie by die eerste opstart word". 'n Skoon beeld met 'n bootstrap-skrip wat 'n gedeelde sleutel haal, beantwoord die eerste vraag goed en die tweede sleg.

Hou herstelbeelde wat wettig geheime bevat beperk tot die mense wat dit nodig het, en teken aan waar hulle gestoor word. Die alternatief, 'n beeld wat gerieflik is omdat dit sonder enige voorsiening werk, is dieselfde beeld wat elkeen wat dit vind die gateway se identiteit gee. Net een van daardie take verskyn in 'n boulog.

Toelatingskontroles voor produksie

Voordat die node verkeer aanvaar, bevestig vier dinge: die identiteit wat dit aanbied, die kliënte wat dit sal aanvaar, die hulpbronne wat dit mag bereik, en die terugpad vir die adresse wat dit uitdeel.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Kontroleer dan die negatiewe geval, wat die een is wat ongelukke vang: het die nuwe node administrateur- of kliënttoegang wat vir die oorspronklike bedoel was? 'n Gekopieerde konfigurasie kan 'n ekstra kliëntinskrywing dra, 'n geërfde bestuursroete, of 'n push-direktief wat op die eerste gasheer sin gemaak het.

As 'n beeld met lewende geheime reeds buite sy goedgekeurde grens beweeg het, vervang die geloofsbriewe en beperk die kopieë. Om die lêer uit die nuutste bou te verwyder is nie dieselfde as om die geloofsbrief te retireer wat ouer kopieë steeds hou nie, en die gaping tussen daardie twee feite is presies die venster wat 'n aanvaller nodig het.