OpenVPN-profiel in Git: wat om te verwyder voordat jy dit vaslê

Profiele dien twee doele tegelyk: hulle teken verbindingsinstellings op, en hulle dra 'n werkende stel aanmeldingsbewyse. Die lêeruitbreiding sê niks oor watter een jy in die hand het nie. Lees die inhoud voordat jy besluit dat dit in 'n bewaarplek hoort.

Die stappe hieronder gaan uit van 'n kliëntsjabloon wat vir weergawebeheer oorweeg word. Voer hulle in volgorde uit, en stop voordat jy iets vaslê wat jy nie kan herroep nie.

Lees die lêer wat jy in die indeks wil plaas

Begin by die werklike grepe, want 'n profiel wat na aparte lêers verwys, lyk heeltemal anders as een wat hulle insluit. Soek na die PEM-blokmerkers en na die inlynetikette genaamd ca, cert, key, tls-auth en tls-crypt, en dieselfde soektog sal jou beide gevalle wys. 'n Geënkripteerde private sleutel geld steeds as sensitiewe materiaal, en 'n gedeelde tls-auth- of tls-crypt-sleutel is 'n geloofsbewys selfs al is dit nie 'n gebruiker se identiteit nie. Pas dieselfde beoordeling toe op alles wat saam met die profiel in die indeks geplaas word, insluitend argiewe en opstel-skripte wat na 'n geloofsbrieflêer verwys.

Kyk dan na die stel wat in die indeks is eerder as na die werkkopie. git diff --cached wys wat die vasykking werklik sal bevat, en dit is die enigste weergawe wat vir hierdie besluit saak maak.

Besluit wat die bewaarplek mag versprei

'n Sjabloon kan die gedeelde, nagegane instellings dra en benoemde plekhouers vir alles wat 'n persoon by inskrywing ontvang. Wat dit nie kan dra nie, is 'n bruikbare identiteit, want 'n bewaarplek versprei na almal wat dit kan lees, outomatisering ingesluit. 'n Privaat bewaarplek vernou die gehoor sonder om die vraag te verander of elke leser vir daardie geloofsbewys gemagtig is.

'n Ignoreer-reël verhoed toekomstige byvoegings en doen niks aan wat reeds opgeteken is nie. Daardie asimmetrie is die moeite werd om te internaliseer voor die eerste vasykking eerder as na die tiende. Infrastruktuur se name en adresse is 'n aparte oordeel: hulle is nie verifikasiegeheime nie, maar hulle kan meer openbaar as wat 'n span van plan is om te publiseer. Maak daardie besluit eksplisiet eerder as om elke reël in wagwoord of publiek te sorteer.

As die materiaal reeds in die geskiedenis is

Om die reël in 'n nuwe vasykking te verwyder, laat die ou weergawe ongeskonde vir enigiemand wat dit haal. Behandel die blootstelling as werklik: identifiseer die tipe geloofsbewys en vind dan die gesag wat dit kan ongeldig maak. 'n Kliëntsertifikaat word herroep en die herroepingslys word hergenereer; 'n gedeelde beheerkanaalsleutel word op die bediener en op elke kliënt wat dit gebruik, vervang.

Die twee het baie verskillende impakradiusse, en die plan moet vooraf sê watter een jy uitvoer. Spoor die vasykking op wat die materiaal ingebring het met 'n piksoektog soos git log --all -S 'BEGIN PRIVATE KEY', sodat die omvang van die opruiming bekend is eerder as geraai. 'n Kollega se kloon of 'n vurk hou dalk reeds die ou objek, en daarom kom herroeping eerste en opruiming tweede.

Maak eers skoon nadat dit ingeperk is

Geskiedenis-herskrywing verander elke vasykking ná die een wat jy wysig, so dit vereis dat die bewaarplek se eienaar en die mense wat daarin werk, eers saamstem. 'n Geforseerde stoot is nie 'n herstelling nie; dit is 'n koördineringsgeleentheid met sy eie terugrolrisiko. Beplan dit, neem 'n rugsteun, en sê vir die span wanneer dit gaan gebeur.

Verifieer daarna die huidige boom en die oorblywende geskiedenis eerder as om die gereedskap se opsomming te vertrou.

Hou die uitkoms as twee artefakte: die sjabloon wat veilig is om te deel, en die inventaris van geloofsbewyse wat deur die inskrywingsproses uitgereik is. Nie een vereis dat 'n bruikbare identiteit in die bewaarplek woon nie.

Daardie skeiding is die werklike oplossing, en dit oorleef die volgende persoon wat 'n profiel wil vaslê.