VPN zerbitzari baten irudia klonatzea, haren identitatea klonatu gabe

Irudia abiarazi egiten da, zerbitzua hasten da eta bezeroak konektatzen dira. Orduan da gelditu eta galdetzeko zein bi eragiketa oso ezberdinetatik gertatu den une horretan. Edo kopiak lehen zegoen ate logiko bakarra leheneratzen du, edo bigarren ate bat gehitzen dio flotari. Biak dira zilegi, eta identitatean eta sarbidean ondorio ezberdinak dituzte. Garbi abiarazten den makinak ez du bat ere frogatzen.

Hiru baldintzek erabakitzen dute erantzuna, eta irudi batek eraman ditzakeen materialen hiru ontziak dira. Ordena itzazu irudia eraiki aurretik, ez bi aldiz hedatuta egon ondoren.

Erabaki lehenengo zein bi eragiketetatik egiten ari zaren

Leheneratzeak zerbitzu-identitate bakarra mantentzen du. Instantzia zaharra desagertu egin da, izena eta ziurtagiria geratzen dira, eta bezeroek amaiera-puntu berari konfiantza ematen diote. Gehitzeak bigarren identitate bat sortzen du, bezeroek, erregistroek eta errebokazioak bereizi behar dutena.

Distira ez da kosmetikoa. Bi ostalarik ate-ziurtagiri bera aurkezten badute, bezero batek ezin ditu bereizi, eta auditoria-arrasto batek ere ez, eta ziurtagiri hori errebokatzeak biak batera kentzen ditu. Baliteke hori nahita egindako erabilgarritasun altuko diseinu batek nahi duena izatea, eta gutxitan da presaka egindako irudi-kopia batek nahi duena.

Beraz, lehen erabakia esaldi bat da, eraikuntza-ostalaria irudiak utzi aurretik idatzitakoa: kopia honek A atea leheneratzen du, edo kopia hau B ate bihurtzen da. Horren ondorengo guztia esaldi horren kontrako kontabilitatea da. Inork ezin badu idatzi, kopia ez dago eraikitzeko prest.

Sarrera berrerabilgarriak, identitatea eta autoritatea, hedapen-egoera

Berrerabil daitekeen ontzia erraza da: paketeak, sekreturik gabeko berrikusitako konfigurazioa, zerbitzu-txantiloiak, gogortze-ezarpenak. Horretan da irudi bat benetan ona, eta mugarik gabe erreproduzi daiteke.

Identitatearen eta autoritatearen ontzia da kopiak oker ibiltzen diren lekua. Ate baten gako pribatuak eta ziurtagiriak ate hori identifikatzen dute bezero bakoitzaren aurrean. Ziurtagiri-agintaritzaren sinadura-gakoa botere ezberdineko objektu ezberdina da: identitateak ematen ditu. Igortzaile bat fidatzeak ez du esan nahi ate berri bakoitzak igortzeko gaitasuna behar duenik, eta sinadura-gakoa irudi baten barruan bidaltzeak gaitasun hori ematen dio irudia irakur dezakeen edozerri.

Hedapen-egoeraren ontzia jendeak ahazten duena da, konfigurazioaren antza duelako. Entzute-helbideek, helbide-poolak, bultzatutako bideek, resolver-ezarpenek eta tokiko integrazioak lehen ostalariari buruzko suposizioak kodetzen dituzte. Hauek kopiatzen dituen bigarren nodo batek beste ate batek jadanik duen pool batetik eslei dezake, edo bezeroak jatorrizkoaren ondoan bakarrik existitzen den baliabide batera bidera ditzake.

Zer eman behar zaio nodo berriari, eta norengandik

Modu independentean kudeatutako nodo batek bere kredentzialak onartutako erregistro-prozesuaren bidez jaso beharko lituzke, sinadura-eragiketa sinadura-gakoa dagoen tokian eginda, ez ostalari berrian. Erregistratu zein identitate ken daitekeen beste nodoak aztoratu gabe; erantzuna "denak" bada, diseinuak bi direla itxura egiten duen identitate bakarra du.

Sare-balioek tratu bera merezi dute. Aukeratu pool bat, entzute-helbide bat eta lehendik dagoen atearekin talka egiten ez duten bultzatutako bide multzo bat, eta idatzi hornikuntza-sarreretan, ez irudian. Sarrera berrikus daiteke; irudia ez.

Badago kasu ertain zilegi bat. Lagundutako berreskuratze- edo errepikapen-diseinu batek nahita manten dezake zerbitzu-identitate logiko bakarra ostalarien artean, kopia zaharrera sarbide kontrolatuarekin eta errotazio-planarekin. Hori jabea duen erabakia da, ez irudia erosoa zelako gertatzen den balio lehenetsia.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Lehen komandoak esaten dizu zein identitate aurkezten duen nodoak benetan eta nork sinatu zuen. Bigarrena hasierako inbentarioa da, ez froga: material pribatua direktorio horretatik kanpo bizi daiteke, aplikazio baten datu-basean edo exekutatzen ari den fitxategi-sistemak jada erakusten ez duen snapshot geruza batean.

Zer daraman isilka irudiaren kopia batek

Irudi baten berrikuspen berrienetik fitxategi bat ezabatzeak ez du kentzen berrikuspen zaharragoetatik, geruza-cacheetatik edo existitzen zen bitartean hartutako snapshottetatik. Horregatik kredentzialak daramatzaten irudiak objektu sentikor gisa tratatu behar dira bizitza osoan, ez eraikitzen diren unean bakarrik.

Egiaztatu irudiaren edukia eta hornikuntza-sarrerak galdera bereizi gisa. Irudiak "zer dago artefaktu honen barruan" erantzuten du, eta sarrerek "zer bihurtuko da instantzia hau lehen abioan". Gako partekatua ekartzen duen abio-scripta duen irudi garbi batek ondo erantzuten dio lehen galderari eta gaizki bigarrenari.

Mantendu sekretuak zilegizki dituzten berreskuratze-irudiak behar dituzten pertsonei mugatuta, eta erregistratu non gordetzen diren. Alternatiba, hornikuntzarik gabe funtzionatzen duelako erosoa den irudi bat, aurkitzen duen edonori atearen identitatea ematen dion irudi bera da. Bi zeregin horietatik bat bakarrik agertzen da eraikuntza-erregistroan.

Sarrera-egiaztapenak ekoizpena baino lehen

Nodoak trafikoa hartu aurretik, berretsi lau gauza: aurkezten duen identitatea, onartuko dituen bezeroak, iristeko baimena duen baliabideak eta ematen dituen helbideen itzulera-bidea.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Gero egiaztatu kasu negatiboa, istripuak harrapatzen dituena: al du nodo berriak jatorrizkorako pentsatutako administratzaile- edo bezero-sarbidea? Kopiatutako konfigurazioak bezero-sarrera gehigarri bat, oinordetutako kudeaketa-bide bat edo lehen ostalarian zentzua zuena zen push direktiba bat eraman dezake.

Bizirik dauden sekretuak dituen irudi bat jadanik onartutako mugatik haratago joan bada, ordezkatu kredentzialak eta mugatu kopiak. Azken eraikiztetik fitxategia kentzea ez da kopia zaharrek oraindik daramaten kredentziala erretiratzea, eta bi egitate horien arteko aldea da erasotzaileak behar duen leihoa zehazki.