Klonado de VPN-servila bildo sen klonado de ĝia identeco

La bildo ekstartas, la servo komenciĝas kaj klientoj konektiĝas. Tio estas la momento halti kaj demandi, kiu el du tre malsamaj operacioj ĵus okazis. Aŭ la kopio restarigas unu logikan pordegon, kiu antaŭe ekzistis, aŭ ĝi aldonas duan pordegon al la floto. Ambaŭ estas legitimaj, kaj ili havas malsamajn sekvojn por identeco kaj aliro. Maŝino, kiu startas pure, pruvas nek unu nek la alian.

Tri kondiĉoj decidas la respondon, kaj ili estas la tri siteloj da materialo, kiujn bildo povas porti. Ordigu ilin antaŭ ol la bildo estas konstruata, ne post kiam ĝi estis dufoje deplojita.

Unue decidu, kiun el la du operacioj vi faras

Restarigo konservas unu servan identecon. La malnova instanco malaperis, la nomo kaj atestilo restas, kaj klientoj daŭre fidas la saman finpunkton. Aldono kreas duan identecon, kiun klientoj, protokoloj kaj revokado ĉiuj devas distingi.

La distingo ne estas kosmetika. Se du vivantaj gastigantoj prezentas la saman pordegan atestilon, kliento ne povas distingi ilin, nek revizia spuro povas, kaj revokado de tiu atestilo forigas ambaŭ samtempe. Tio eble estas ĝuste tio, kion intenca alta-disponebla dezajno volas, kaj malofte estas tio, kion rapidema bildokopio intencas.

Do la unua decido estas frazo, skribita antaŭ ol la bildo forlasas la konstruan gastiganton: ĉi tiu kopio restarigas pordegon A, aŭ ĉi tiu kopio fariĝas pordego B. Ĉio poste estas kontado kontraŭ tiu frazo. Se neniu povas skribi ĝin, la kopio ne pretas esti konstruata.

Reuzeblaj enigoj, identeco kaj aŭtoritato, deploja stato

La reuzebla sitelo estas la facila: pakaĵoj, reviziita agordo sen sekretoj, servaj ŝablonoj, malmoligaj agordoj. Tion bildo vere bone faras, kaj ĝi povas esti reproduktata sen limo.

La sitelo de identeco kaj aŭtoritato estas kie kopioj misfunkcias. La privata ŝlosilo kaj atestilo de pordego identigas tiun pordegon al ĉiu kliento. La subskriba ŝlosilo de la atestila aŭtoritato estas alia objekto kun alia potenco: ĝi eldonas identecojn. Fidi eldonanton ne signifas, ke ĉiu nova pordego bezonas la kapablon eldoni, kaj sendi la subskriban ŝlosilon ene de bildo donas tiun kapablon al ĉio, kio povas legi la bildon.

La sitelo de deploja stato estas tiu, kiun homoj forgesas, ĉar ĝi aspektas kiel agordo. Aŭskultaj adresoj, adresaj basenoj, puŝitaj itineroj, agordoj de solvilo kaj loka integriĝo ĉiuj kodas supozojn pri la unua gastiganto. Dua nodo, kiu kopias ilin, povas asigni el baseno, kiun jam posedas alia pordego, aŭ direkti klientojn al rimedo, kiu ekzistas nur apud la originalo.

Kion nova nodo devas ricevi, kaj de kiu

Sendepende administrata nodo devus ricevi siajn proprajn akreditaĵojn per la aprobita aliĝa procezo, kun la subskriba operacio okazanta tie, kie loĝas la subskriba ŝlosilo, ne sur la nova gastiganto. Notu, kiu identeco povas esti retirita sen ĝeni la aliajn nodojn; se la respondo estas "ĉiuj", la dezajno havas unu identecon, kiu ŝajnigas esti du.

Retaj valoroj meritas la saman traktadon. Elektu basenon, aŭskultan adreson kaj aron da puŝitaj itineroj, kiuj ne kolizias kun la ekzistanta pordego, kaj skribu ilin en la provizajn enigojn anstataŭ en la bildon. La enigo estas revidebla; la bildo ne estas.

Ekzistas legitima meza kazo. Subtenata restaŭra aŭ replika dezajno povas intence teni unu logikan servan identecon trans gastigantoj, kun kontrolita aliro al la malnova kopio kaj rotacia plano. Tio estas decido kun posedanto, ne defaŭlto, kiu okazas ĉar la bildo estis oportuna.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

La unua komando diras, kiun identecon la nodo efektive prezentas kaj kiu subskribis ĝin. La dua estas komenca inventaro, ne pruvo: privata materialo povas vivi ekster tiu dosierujo, ene de aplika datumbazo, aŭ en momentfota tavolo, kiun la kuranta dosiersistemo ne plu montras.

Kion kopio de la bildo silente portas

Forigi dosieron el la plej nova revizio de bildo ne forigas ĝin el pli malnovaj revizioj, tavolaj kaŝmemoroj aŭ momentfotoj faritaj dum ĝi ekzistis. Tial bildoj portantaj akreditaĵojn devas esti traktataj kiel sentemaj objektoj dum sia tuta vivo, ne nur en la momento de konstruado.

Kontrolu la bildan enhavon kaj la provizajn enigojn kiel apartajn demandojn. La bildo respondas "kio estas ene de ĉi tiu artefakto", dum la enigoj respondas "kio fariĝos ĉi tiu instanco ĉe la unua starto". Pura bildo kun starta skripto, kiu alportas komunan ŝlosilon, respondas bone al la unua demando kaj malbone al la dua.

Tenu restaŭrajn bildojn, kiuj legitime enhavas sekretojn, limigitaj al la homoj, kiuj bezonas ilin, kaj notu, kie ili estas konservataj. La alternativo, bildo oportuna ĉar ĝi funkcias sen ia provizado, estas la sama bildo, kiu donas al iu ajn, kiu trovas ĝin, la identecon de la pordego. Nur unu el tiuj du taskoj aperas en konstrua protokolo.

Akceptaj kontroloj antaŭ produktado

Antaŭ ol la nodo prenas trafikon, konfirmu kvar aferojn: la identecon, kiun ĝi prezentas, la klientojn, kiujn ĝi akceptos, la rimedojn, kiujn ĝi rajtas atingi, kaj la revenan vojon por la adresoj, kiujn ĝi disdonas.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Poste kontrolu la negativan kazon, kiu kaptas akcidentojn: ĉu la nova nodo havas administran aŭ klientan aliron, kiu estis destinita por la originalo? Kopiita agordo povas porti kroman klientan eron, hereditan administran itinero aŭ puŝan direktivon, kiu havis sencon sur la unua gastiganto.

Se bildo enhavanta vivajn sekretojn jam moviĝis preter sia aprobita limo, anstataŭigu la akreditaĵojn kaj limigu la kopiojn. Forigi la dosieron el la plej nova konstruo ne samas kiel retiri la akreditaĵon, kiun pli malnovaj kopioj ankoraŭ tenas, kaj la breĉo inter tiuj du faktoj estas ĝuste la fenestro, kiun atakanto bezonas.