Clonio delwedd gweinydd VPN heb glonio ei hunaniaeth

Mae'r ddelwedd yn cychwyn, mae'r gwasanaeth yn dechrau, ac mae cleientiaid yn cysylltu. Dyma'r foment i stopio a gofyn pa un o ddau weithrediad hynod wahanol sydd newydd ddigwydd. Naill ai mae'r copi yn adfer un porth rhesymegol a fodolai o'r blaen, neu mae'n ychwanegu ail borth at y fflyd. Mae'r ddau yn gyfreithlon, ac mae ganddynt ganlyniadau gwahanol i hunaniaeth a mynediad. Nid yw peiriant sy'n codi'n lân yn profi'r naill na'r llall.

Mae tri amod yn penderfynu'r ateb, a nhw yw'r tri bwc o ddeunydd y gall delwedd eu cario. Trefnwch nhw cyn i'r ddelwedd gael ei hadeiladu, nid ar ôl iddi gael ei defnyddio ddwywaith.

Penderfynwch yn gyntaf pa un o'r dau weithrediad rydych yn ei wneud

Mae adferiad yn cadw un hunaniaeth gwasanaeth. Mae'r hen enghraifft wedi mynd, mae'r enw a'r dystysgrif yn aros, ac mae cleientiaid yn parhau i ymddiried yn yr un pwynt terfyn. Mae ychwanegu yn creu ail hunaniaeth y mae'n rhaid i gleientiaid, logiau ac adalw ei gwahaniaethu.

Nid yw'r gwahaniaeth yn addurnol. Os yw dau westai byw yn cyflwyno'r un dystysgrif porth, ni all cleient eu gwahaniaethu, ac ni all trywydd archwilio chwaith, ac mae adalw'r dystysgrif honno yn tynnu'r ddau ar unwaith. Efallai mai dyna'n union y mae cynllun argaeledd uchel bwriadol ei eisiau, ac anaml y mae'n hyn y mae copi delwedd brysiog yn ei fwriadu.

Felly'r penderfyniad cyntaf yw brawddeg, a ysgrifennwyd cyn i'r ddelwedd adael y gwesteiwr adeiladu: mae'r copi hwn yn adfer porth A, neu mae'r copi hwn yn dod yn borth B. Mae popeth ar ôl hynny yn gyfrifyddu yn erbyn y frawddeg. Os na all neb ei hysgrifennu, nid yw'r copi yn barod i'w adeiladu.

Mewnbynnau ailddefnyddiadwy, hunaniaeth ac awdurdod, cyflwr defnyddio

Y bwc ailddefnyddiadwy yw'r un hawdd: pecynnau, cyfluniad wedi'i adolygu heb gyfrinachau, templedi gwasanaeth, gosodiadau caledu. Dyma'r hyn y mae delwedd yn wirioneddol dda amdano, a gellir ei atgynhyrchu heb derfyn.

Y bwc hunaniaeth ac awdurdod yw lle mae copïau yn mynd o chwith. Mae allwedd breifat a thystysgrif porth yn nodi'r porth hwnnw i bob cleient. Mae allwedd lofnodi'r awdurdod tystysgrifau yn wrthrych gwahanol â phŵer gwahanol: mae'n cyhoeddi hunaniaethau. Nid yw ymddiried mewn cyhoeddwr yn golygu bod angen gallu cyhoeddi ar bob porth newydd, ac mae anfon yr allwedd lofnodi o fewn delwedd yn rhoi'r gallu hwnnw i unrhyw beth a all ddarllen y ddelwedd.

Y bwc cyflwr defnyddio yw'r un y mae pobl yn ei anghofio oherwydd ei fod yn edrych fel cyfluniad. Mae cyfeiriadau gwrando, pyllau cyfeiriadau, llwybrau a wthiwyd, gosodiadau datryswr ac integreiddio lleol i gyd yn amgodio tybiaethau am y gwesteiwr cyntaf. Gall ail nod sy'n eu copïo ddyrannu o bwll y mae porth arall eisoes yn berchen arno, neu gyfeirio cleientiaid at adnodd sy'n bodoli dim ond wrth ymyl y gwreiddiol.

Beth y mae'n rhaid ei roi i nod newydd, a chan bwy

Dylai nod a reolir yn annibynnol dderbyn ei gymwysterau ei hun drwy'r broses gofrestru gymeradwy, gyda'r llawdriniaeth lofnodi yn digwydd lle mae'r allwedd lofnodi yn byw yn hytrach nag ar y gwesteiwr newydd. Cofnodwch pa hunaniaeth y gellir ei thynnu yn ôl heb amharu ar y nodau eraill; os mai "pob un" yw'r ateb, mae gan y cynllun un hunaniaeth sy'n esgus bod yn ddwy.

Mae gwerthoedd rhwydwaith yn haeddu'r un driniaeth. Dewiswch bwll, cyfeiriad gwrando a set o lwybrau a wthiwyd nad ydynt yn gwrthdaro â'r porth presennol, a'u hysgrifennu yn y mewnbynnau darparu yn hytrach nag yn y ddelwedd. Mae'r mewnbwn yn adolygadwy; nid yw'r ddelwedd.

Mae achos canol cyfreithlon. Gall cynllun adfer neu atgynhyrchu â chymorth gadw un hunaniaeth gwasanaeth resymegol ar draws gwesteiwyr yn fwriadol, gyda mynediad rheoledig at yr hen gopi a chynllun cylchdroi. Mae hynny'n benderfyniad gyda pherchennog, nid rhagosodiad sy'n digwydd oherwydd bod y ddelwedd yn gyfleus.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Mae'r gorchymyn cyntaf yn dweud pa hunaniaeth y mae'r nod yn ei chyflwyno mewn gwirionedd a phwy a'i llofnododd. Mae'r ail yn rhestr gychwynnol, nid yn brawf: gall deunydd preifat fyw y tu allan i'r cyfeiriadur hwnnw, y tu mewn i gronfa ddata cymhwysiad, neu mewn haen ciplun nad yw'r system ffeiliau sy'n rhedeg yn ei dangos mwyach.

Beth y mae copi o'r ddelwedd yn ei gario'n ddistaw

Nid yw dileu ffeil o adolygiad newyddaf delwedd yn ei symud o adolygiadau hŷn, storfa haenau na'r cipluniau a gymerwyd tra oedd yn bodoli. Dyna pam y mae'n rhaid trin delweddau sy'n cario cymwysterau fel gwrthrychau sensitif am eu hoes gyfan, nid yn unig ar y foment y cânt eu hadeiladu.

Gwiriwch gynnwys y ddelwedd a'r mewnbynnau darparu fel cwestiynau ar wahân. Mae'r ddelwedd yn ateb "beth sydd y tu mewn i'r arteffact hwn", tra mae'r mewnbynnau yn ateb "beth fydd yr enghraifft hon ar y cychwyn cyntaf". Mae delwedd lân gyda sgript cychwyn sy'n nôl allwedd a rennir yn ateb y cwestiwn cyntaf yn dda a'r ail yn wael.

Cadwch ddelweddau adfer sy'n cynnwys cyfrinachau'n gyfreithlon yn gyfyngedig i'r bobl sydd eu hangen, a chofnodwch ble maent yn cael eu storio. Y dewis arall, delwedd sy'n gyfleus oherwydd ei bod yn gweithio heb unrhyw ddarparu, yw'r un ddelwedd sy'n rhoi hunaniaeth y porth i bwy bynnag a'i canfydd. Dim ond un o'r ddau dasg hynny sy'n ymddangos mewn log adeiladu.

Gwiriadau derbyn cyn cynhyrchu

Cyn i'r nod gymryd traffig, cadarnhewch bedair peth: yr hunaniaeth y mae'n ei chyflwyno, y cleientiaid y bydd yn eu derbyn, yr adnoddau y caniateir iddo eu cyrraedd, a'r llwybr dychwelyd ar gyfer y cyfeiriadau y mae'n eu dosbarthu.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Yna gwiriwch yr achos negyddol, sef yr un sy'n dal damweiniau: a oes gan y nod newydd fynediad gweinyddol neu gleient a oedd wedi'i fwriadu ar gyfer y gwreiddiol? Gall cyfluniad a gopïwyd gario cofnod cleient ychwanegol, llwybr rheoli a etifeddwyd, neu gyfarwyddeb push a oedd yn gwneud synnwyr ar y gwesteiwr cyntaf.

Os yw delwedd sy'n cynnwys cyfrinachau byw eisoes wedi symud y tu hwnt i'w ffin gymeradwy, disodlwch y cymwysterau a chyfyngwch y copïau. Nid yw tynnu'r ffeil o'r adeilad diwethaf yr un peth â rhoi'r cymhwyster y mae copïau hŷn yn dal i'w ddal allan o wasanaeth, ac mae'r bwlch rhwng y ddau ffaith hynny yn union yn y ffenestr y mae angen ar ymosodwr.