Κλωνοποίηση ειδώλου διακομιστή VPN χωρίς κλωνοποίηση της ταυτότητάς του

Το είδωλο εκκινεί, η υπηρεσία ξεκινά και οι πελάτες συνδέονται. Αυτή είναι η στιγμή να σταματήσετε και να ρωτήσετε ποια από δύο πολύ διαφορετικές λειτουργίες μόλις συνέβη. Είτε το αντίγραφο αποκαθιστά μία λογική πύλη που υπήρχε προηγουμένως, είτε προσθέτει δεύτερη πύλη στον στόλο. Και οι δύο είναι νόμιμες και έχουν διαφορετικές συνέπειες για ταυτότητα και πρόσβαση. Ένα μηχάνημα που ξεκινά καθαρά δεν αποδεικνύει καμία από τις δύο.

Τρεις συνθήκες αποφασίζουν την απάντηση και είναι οι τρεις κάδοι υλικού που μπορεί να μεταφέρει ένα είδωλο. Ταξινομήστε τους πριν χτιστεί το είδωλο, όχι αφού αναπτυχθεί δύο φορές.

Αποφασίστε πρώτα ποια από τις δύο λειτουργίες εκτελείτε

Η επαναφορά διατηρεί μία ταυτότητα υπηρεσίας. Το παλιό στιγμιότυπο έχει φύγει, το όνομα και το πιστοποιητικό μένουν και οι πελάτες συνεχίζουν να εμπιστεύονται το ίδιο τελικό σημείο. Η προσθήκη δημιουργεί δεύτερη ταυτότητα που οι πελάτες, τα αρχεία καταγραφής και η ανάκληση πρέπει να ξεχωρίζουν.

Η διάκριση δεν είναι καλλωπιστική. Αν δύο ενεργοί κεντρικοί υπολογιστές παρουσιάζουν το ίδιο πιστοποιητικό πύλης, ένας πελάτης δεν μπορεί να τους ξεχωρίσει, ούτε ένα ίχνος ελέγχου μπορεί, και η ανάκληση αυτού του πιστοποιητικού αφαιρεί και τους δύο μαζί. Αυτό μπορεί να είναι ακριβώς αυτό που θέλει ένα σκόπιμο σχέδιο υψηλής διαθεσιμότητας και σπάνια είναι αυτό που σκοπεύει ένα βιαστικό αντίγραφο ειδώλου.

Έτσι η πρώτη απόφαση είναι μία πρόταση, γραμμένη πριν το είδωλο φύγει από τον κεντρικό υπολογιστή κατασκευής: αυτό το αντίγραφο αποκαθιστά την πύλη A, ή αυτό το αντίγραφο γίνεται πύλη B. Όλα τα υπόλοιπα είναι λογιστική απέναντι σε αυτή την πρόταση. Αν κανείς δεν μπορεί να τη γράψει, το αντίγραφο δεν είναι έτοιμο για κατασκευή.

Επαναχρησιμοποιήσιμες είσοδοι, ταυτότητα και εξουσία, κατάσταση ανάπτυξης

Ο επαναχρησιμοποιήσιμος κάδος είναι ο εύκολος: πακέτα, ελεγμένη διαμόρφωση χωρίς μυστικά, πρότυπα υπηρεσιών, ρυθμίσεις σκλήρυνσης. Σε αυτό είναι πραγματικά καλό ένα είδωλο και μπορεί να αναπαραχθεί χωρίς όριο.

Ο κάδος ταυτότητας και εξουσίας είναι εκεί όπου τα αντίγραφα πάνε στραβά. Το ιδιωτικό κλειδί και το πιστοποιητικό μιας πύλης ταυτοποιούν αυτή την πύλη σε κάθε πελάτη. Το κλειδί υπογραφής της αρχής πιστοποιητικών είναι διαφορετικό αντικείμενο με διαφορετική δύναμη: εκδίδει ταυτότητες. Το να εμπιστεύεσαι έναν εκδότη δεν σημαίνει ότι κάθε νέα πύλη χρειάζεται την ικανότητα έκδοσης, και το να στέλνεις το κλειδί υπογραφής μέσα σε ένα είδωλο δίνει αυτή την ικανότητα σε οτιδήποτε μπορεί να διαβάσει το είδωλο.

Ο κάδος κατάστασης ανάπτυξης είναι αυτός που οι άνθρωποι ξεχνούν επειδή μοιάζει με διαμόρφωση. Διευθύνσεις ακρόασης, δεξαμενές διευθύνσεων, προωθούμενες διαδρομές, ρυθμίσεις resolver και τοπική ολοκλήρωση κωδικοποιούν όλες υποθέσεις για τον πρώτο κεντρικό υπολογιστή. Ένας δεύτερος κόμβος που τις αντιγράφει μπορεί να εκχωρεί από δεξαμενή που ήδη κατέχει άλλη πύλη ή να κατευθύνει πελάτες σε πόρο που υπάρχει μόνο δίπλα στο πρωτότυπο.

Τι πρέπει να λάβει ένας νέος κόμβος, και από ποιον

Ένας ανεξάρτητα διαχειριζόμενος κόμβος θα πρέπει να λαμβάνει τα δικά του διαπιστευτήρια μέσω της εγκεκριμένης διαδικασίας εγγραφής, με τη λειτουργία υπογραφής να γίνεται εκεί όπου ζει το κλειδί υπογραφής και όχι στον νέο κεντρικό υπολογιστή. Καταγράψτε ποια ταυτότητα μπορεί να αποσυρθεί χωρίς να ενοχληθούν οι άλλοι κόμβοι· αν η απάντηση είναι «όλες», το σχέδιο έχει μία ταυτότητα που παριστάνει τις δύο.

Οι τιμές δικτύου αξίζουν την ίδια μεταχείριση. Διαλέξτε δεξαμενή, διεύθυνση ακρόασης και σύνολο προωθούμενων διαδρομών που δεν συγκρούονται με την υπάρχουσα πύλη, και γράψτε τις στις εισόδους παροχής και όχι στο είδωλο. Η είσοδος είναι ελέγξιμη· το είδωλο δεν είναι.

Υπάρχει μια νόμιμη ενδιάμεση περίπτωση. Ένα υποστηριζόμενο σχέδιο ανάκτησης ή αναπαραγωγής μπορεί σκόπιμα να διατηρεί μία λογική ταυτότητα υπηρεσίας σε πολλούς κεντρικούς υπολογιστές, με ελεγχόμενη πρόσβαση στο παλιό αντίγραφο και σχέδιο εναλλαγής. Αυτό είναι απόφαση με υπεύθυνο, όχι προεπιλογή που συμβαίνει επειδή το είδωλο ήταν βολικό.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Η πρώτη εντολή σας λέει ποια ταυτότητα παρουσιάζει πραγματικά ο κόμβος και ποιος την υπέγραψε. Η δεύτερη είναι αρχική απογραφή, όχι απόδειξη: το ιδιωτικό υλικό μπορεί να ζει έξω από αυτόν τον κατάλογο, μέσα σε βάση δεδομένων εφαρμογής ή σε επίπεδο στιγμιοτύπου που το ενεργό σύστημα αρχείων δεν δείχνει πια.

Τι μεταφέρει σιωπηλά ένα αντίγραφο του ειδώλου

Η διαγραφή ενός αρχείου από την πιο πρόσφατη αναθεώρηση ενός ειδώλου δεν το αφαιρεί από παλαιότερες αναθεωρήσεις, κρυφές μνήμες επιπέδων ή στιγμιότυπα που ελήφθησαν όσο υπήρχε. Γι' αυτό τα είδωλα που φέρουν διαπιστευτήρια πρέπει να αντιμετωπίζονται ως ευαίσθητα αντικείμενα σε όλη τη διάρκεια ζωής τους, όχι μόνο τη στιγμή της κατασκευής.

Ελέγξτε το περιεχόμενο του ειδώλου και τις εισόδους παροχής ως ξεχωριστά ερωτήματα. Το είδωλο απαντά «τι υπάρχει μέσα σε αυτό το τεχνούργημα», ενώ οι είσοδοι απαντούν «τι θα γίνει αυτό το στιγμιότυπο στην πρώτη εκκίνηση». Ένα καθαρό είδωλο με σενάριο εκκίνησης που φέρνει κοινό κλειδί απαντά καλά στο πρώτο ερώτημα και άσχημα στο δεύτερο.

Κρατήστε τα είδωλα ανάκτησης που περιέχουν νόμιμα μυστικά περιορισμένα στους ανθρώπους που τα χρειάζονται, και καταγράψτε πού αποθηκεύονται. Η εναλλακτική, ένα είδωλο που είναι βολικό επειδή λειτουργεί χωρίς καμία παροχή, είναι το ίδιο είδωλο που δίνει σε όποιον το βρει την ταυτότητα της πύλης. Μόνο μία από αυτές τις δύο εργασίες εμφανίζεται σε αρχείο καταγραφής κατασκευής.

Έλεγχοι εισδοχής πριν την παραγωγή

Πριν ο κόμβος δεχτεί κίνηση, επιβεβαιώστε τέσσερα πράγματα: την ταυτότητα που παρουσιάζει, τους πελάτες που θα δεχτεί, τους πόρους που του επιτρέπεται να φτάσει και τη διαδρομή επιστροφής για τις διευθύνσεις που δίνει.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Έπειτα ελέγξτε την αρνητική περίπτωση, που είναι αυτή που πιάνει τα ατυχήματα: έχει ο νέος κόμβος πρόσβαση διαχειριστή ή πελάτη που προοριζόταν για το πρωτότυπο; Μια αντιγραμμένη διαμόρφωση μπορεί να φέρει επιπλέον καταχώριση πελάτη, κληρονομημένη διαδρομή διαχείρισης ή οδηγία push που είχε νόημα στον πρώτο κεντρικό υπολογιστή.

Αν ένα είδωλο με ζωντανά μυστικά έχει ήδη κινηθεί πέρα από το εγκεκριμένο όριό του, αντικαταστήστε τα διαπιστευτήρια και περιορίστε τα αντίγραφα. Η αφαίρεση του αρχείου από την τελευταία κατασκευή δεν είναι το ίδιο με την απόσυρση του διαπιστευτηρίου που κρατούν ακόμη τα παλαιότερα αντίγραφα, και το κενό μεταξύ αυτών των δύο γεγονότων είναι ακριβώς το παράθυρο που χρειάζεται ένας επιτιθέμενος.