VPN-serveri kujutise kloonimine ilma selle identiteedi kloonimiseta

Kujutis käivitub, teenus algab ja kliendid ühenduvad. See on hetk peatuda ja küsida, milline kahest väga erinevast toimingust just aset leidis. Kas koopia taastab ühe loogilise lüüsi, mis varem eksisteeris, või lisab laevastikule teise lüüsi. Mõlemad on legitiimsed ja neil on identiteedile ja juurdepääsule erinevad tagajärjed. Masin, mis puhtalt üles tuleb, ei tõesta kummastki midagi.

Vastuse otsustavad kolm tingimust ja need on kolm materjaliämbrit, mida kujutis kanda võib. Sorteerige need enne kujutise ehitamist, mitte pärast seda, kui see on kaks korda juurutatud.

Otsustage esmalt, kumba kahest toimingust te teete

Taastamine hoiab alles ühe teenuse identiteedi. Vana eksemplar on kadunud, nimi ja sertifikaat jäävad ning kliendid usaldavad jätkuvalt sama lõpp-punkti. Lisamine loob teise identiteedi, mida kliendid, logid ja tühistamine peavad kõik eristama.

Erinevus ei ole kosmeetiline. Kui kaks elavat hosti esitavad sama lüüsi sertifikaati, ei suuda klient neid eristada, ei suuda ka auditeerimisjälg, ja selle sertifikaadi tühistamine eemaldab mõlemad korraga. See võib olla täpselt see, mida tahtlik kõrge käideldavuse disain soovib, ja harva see, mida kiirustav kujutise koopia kavatseb.

Seega on esimene otsus lause, mis kirjutatakse enne, kui kujutis ehitushostist lahkub: see koopia taastab lüüsi A või see koopia saab lüüsiks B. Kõik järgnev on selle lause suhtes raamatupidamine. Kui keegi ei suuda seda kirjutada, ei ole koopia ehitamiseks valmis.

Korduvkasutatavad sisendid, identiteet ja volitus, juurutuse olek

Korduvkasutatav ämber on see lihtne: paketid, üle vaadatud konfiguratsioon ilma saladusteta, teenuse mallid, kõvendusseaded. Selles on kujutis tõeliselt hea ja seda saab piiranguteta reprodutseerida.

Identiteedi ja volituse ämber on koht, kus koopiad viltu lähevad. Lüüsi privaatvõti ja sertifikaat identifitseerivad selle lüüsi iga kliendi jaoks. Sertifitseerimisasutuse allkirjavõti on teine objekt teise võimuga: see väljastab identiteete. Väljastaja usaldamine ei tähenda, et iga uus lüüs vajab väljastamise võimet, ja allkirjavõtme kujutise sees saatmine annab selle võime kõigele, mis suudab kujutist lugeda.

Juurutuse oleku ämber on see, mille inimesed unustavad, sest see näeb välja nagu konfiguratsioon. Kuulamisadressid, aadressibasseinid, läkitatud marsruudid, resolveri seaded ja kohalik lõimimine kodeerivad kõik eeldusi esimese hosti kohta. Teine sõlm, mis need kopeerib, võib jagada basseinist, mille omanik on juba teine lüüs, või suunata kliendid ressursile, mis eksisteerib ainult originaali kõrval.

Mida uus sõlm peab saama ja kellelt

Sõltumatult hallatav sõlm peaks saama oma volitused heakskiidetud registreerimisprotsessi kaudu, kusjuures allkirjastamine toimub seal, kus asub allkirjavõti, mitte uuel hostil. Kirjutage üles, millise identiteedi saab tagasi võtta teisi sõlmi häirimata; kui vastus on "kõik", on disainil üks identiteet, mis teeskleb kahte.

Võrguväärtused väärivad sama kohtlemist. Valige bassein, kuulamisadress ja hulk läkitatud marsruute, mis ei kattu olemasoleva lüüsiga, ja kirjutage need provisjoneerimise sisenditesse, mitte kujutisse. Sisendit saab üle vaadata; kujutist mitte.

On olemas legitiimne vahejuhtum. Toetatud taastamise või replikatsiooni disain võib teadlikult hoida ühte loogilist teenuse identiteeti üle hostide, koos kontrollitud juurdepääsuga vanale koopiale ja rotatsiooniplaaniga. See on otsus, millel on omanik, mitte vaikeväärtus, mis juhtub seetõttu, et kujutis oli mugav.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Esimene käsk ütleb, millist identiteeti sõlm tegelikult esitab ja kes selle allkirjastas. Teine on algne inventuur, mitte tõestus: privaatne materjal võib elada väljaspool seda kataloogi, rakenduse andmebaasis või hetktõmmise kihis, mida töötav failisüsteem enam ei näita.

Mida kujutise koopia vaikselt endaga kaasas kannab

Faili kustutamine kujutise uusimast redaktsioonist ei eemalda seda vanematest redaktsioonidest, kihtide vahemälust ega hetktõmmistest, mis tehti selle eksisteerimise ajal. Seetõttu tuleb volitusi kandvaid kujutisi käsitleda tundlike objektidena kogu nende eluea jooksul, mitte ainult ehitamise hetkel.

Kontrollige kujutise sisu ja provisjoneerimise sisendeid eraldi küsimustena. Kujutis vastab "mis on selle artefakti sees", sisendid aga "milleks see eksemplar esimesel käivitamisel saab". Puhas kujutis koos alglaadimisskriptiga, mis toob ühise võtme, vastab esimesele küsimusele hästi ja teisele halvasti.

Hoidke taastamiskujutisi, mis legitiimselt sisaldavad saladusi, piiratud inimestega, kes neid vajavad, ja kirjutage üles, kus neid hoitakse. Alternatiiv, kujutis, mis on mugav, sest töötab ilma igasuguse provisjoneerimiseta, on sama kujutis, mis annab igaühele, kes selle leiab, lüüsi identiteedi. Ainult üks neist kahest ülesandest ilmub ehitusalasesse logisse.

Vastuvõtukontrollid enne tootmist

Enne kui sõlm liiklust võtab, kinnitage neli asja: identiteet, mida see esitab, kliendid, keda see vastu võtab, ressursid, kuhu sellel on lubatud jõuda, ja tagasitee aadressidele, mida see jagab.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Seejärel kontrollige negatiivset juhtumit, mis tabab õnnetusi: kas uuel sõlmel on administraatori või kliendi juurdepääs, mis oli mõeldud originaalile? Kopeeritud konfiguratsioon võib kanda täiendavat kliendikirjet, päritud haldusmarsruuti või push-direktiivi, millel oli esimesel hostil mõtet.

Kui elavaid saladusi sisaldav kujutis on juba oma kinnitatud piirist väljunud, asendage volitused ja piirake koopiad. Faili eemaldamine viimasest ehitusest ei ole sama, mis vanemate koopiate käes olevate volituste kasutusest kõrvaldamine, ja nende kahe fakti vaheline lünk on täpselt see aken, mida ründaja vajab.