Zure hodeiko VPNak ostatze-hornitzailearen mendean jarraitzen du

Sistema eragilea instalatu duzu, zerbitzua gogortu eta gakoak zure esku dituzu, eta zerbitzaria zurea dela sentitzen hasiko da. Zurea da alokatutako etxebizitza zurea den heinean: ateko sarraila zure kontrolpean dago eta eraikina ez. Hipervisorea, instantziaren aurreko sarea eta guztia berreraiki dezakeen kontua beste norbaitenak dira. Bereizketa horrek zehazten du berreskuratze-plan batek zer estali behar duen, eta hori da auto-ostatatzeak gutxien aldatzen duen zatia.

Kontua da benetako kontrol-planoa

Ostatu-kontu batek makina birtuala, haren diskoak, argazkiak, helbide publikoak eta sare-arauak kudeatzen ditu. Horietako bakoitza gonbidatuan sartu ere egin gabe alda daiteke, eta horrek kontua VPN gida gehienek deskribatzen duten mehatxu-eredutik kanpo uzten du. Tunelaren konfigurazio ezin hobea disko bat ordezkatzen duen kontu-ekintza baten gainetik irauten du.

Babestu kontu hori aktibo bereizi gisa: kredentzial independenteak, hardwarearen babesa duten bigarren faktoreak eta norbait benetan irakurtzen duen auditoria-arrastoa. VPN zerbitzuaren pasahitz-kudeatzaileko sarrera berarekin partekatzea gainerako kontrol guztiak hutsal egiten dituen akatsa da.

Irakurri hornitzailearen eginbeharren banaketa produktu zehatzarentzat, ez hodeiarentzat oro har. Erantzukizun partekatuaren eredua geruzak nola banatzen diren erakusteko adibide erabilgarria da, eta beste hornitzaile batzuek beren mugak deskribatzen dituzte, hura heredatu beharrean. Bilatzen ari zarena da zein hutsegite konpondu behar dituzun eta zein soilik jakinarazi ditzakezun.

Kudeatu ezin dituzun azpiegitura-gertaerak

Migrazio bizia, ostalariaren mantentze-lanak, nodo fisikoan hardware-akatsa eta edukiera-gertaera hornitzaileak bere egutegian kudeatzen dituen gauzak dira. Berrabiarazte bat, pakete-galera labur bat edo helbide-aldaketa bat ikus dezakezu, eta ez duzu arrazoia ikusiko. Instantzia puntu finkotzat hartzen duen diseinu batek guztiak VPN akats gisa interpretatuko ditu. Zuzenketa-ekintza da zerbitzua desagertzen den instantzia bat jasateko gai egitea, inoiz erakutsiko ez dizuten kausa bat ikertu beharrean.

Babeskopiak geruza honi dagozkio, ez tunelari. Gorde zerbitzariaren konfigurazioa, identitateak, helbide-plana eta baimendutako ibilbideak instantzia irisgarria izatearen mende ez dagoen lekuan, eta egiaztatu kopia disko originalik gabe leheneratu daitekeela.

Helbidearen portaerak bere egiaztapena merezi du. Helbide publiko bat geldialdi, ordezkatze edo ezabaketaren ondoren bizirik irauten duen ala ez, nola esleitu zen araberakoa da, eta hiru eragiketak ez dira trukagarriak. Idatzi zein den zure menpekotasuna, gertaera batek galdera larri bihurtu baino lehen.

Egiaztatu berreraikitze batetik zer irauten duen

Eraiki berreskuratze-bidea dena funtzionatzen ari den bitartean. Identifikatu hornitzaileak eskaintzen duen kontsola edo banda kanpoko sarbidea, egiaztatu tunelik gabe iristen zarela, eta gorde kredentzialak hondatutako ordenagailu eramangarri batek edo galdutako telefono batek eramango ez dituen lekuan. Tokiko suebaki-aldaketa batek tunela blokeatzen badu, kontsola hori da itzultzeko bide bakarra.

curl -s http://169.254.169.254/latest/meta-data/instance-id
curl -s http://169.254.169.254/latest/meta-data/public-ipv4
cloud-init status --long

Metadatuen zerbitzuak gonbidatuak bestela ikusi ezin dituen instantziari buruzko galderak erantzuten ditu, eta haren bide zehatzak hornitzaileen eta plataformen artekoak desberdinak dira, beraz, egiaztatu itzazu exekutatzen duzun produktuaren dokumentazioarekin. Ondoren, egin probako instantzia baten berreraikitze kontrolatu bat eta neurtu denbora. Inork burutu ez duen berreskuratze-prozedura hipotesi bat da.

Kontuan hartu berreraikuntzak helbideari, ostalari-gakoei, diskoaren identitateari eta bezeroek finkatzen duten guztiari zer egin zion. Ostalari-gako bat cachean gorde zuten bezeroek kexatuko dira berreraikuntzaren ondoren, eta kexa hori jokabide zuzena da, ez kendu beharreko akats bat.

Erabaki zer aldatzen duen auto-ostatatzeak benetan

Zure VPN propioa exekutatzeak konfiantza VPN operadore batetik ostatu-hornitzaile batera eta zuregana eramaten du. Benetako aldaketa da, eta ez da hirugarren bat kentzearen berdina. Helburua VPN komertzial batek trafikoa behatzea eragoztea bazen, hornitzaileak oraindik instantziaren sarea, haren diskoa eta fakturazio-erregistroak behatu ditzake.

Zure erregistroek zure softwarea deskribatzen dute, eta ez dute hornitzaileak gordetzen duen azpiegitura-erregistro bakoitza deskribatzen. Alderantzizkoa ere egia da: azpiegituraren ikusgaitasunak ez du frogatzen hornitzaile batek zer atxikitzen duen. Bi galderok hornitzailearen politika eta zure konfigurazioa behar dituzte, eta batek ez dio besteari erantzuten.

Idatzi erantzuna lan-banaketa gisa: zein geruzak huts egin zuen, nork konpon dezakeen eta zenbat irauten duen konponketa horrek. Auto-ostatatzeak aldatzen du norengan konfiantza duzun, eta ariketaren zati erabilgarria da zein geruzatarako duzun haietan konfiantza jakitea.