VPN-palvelimen levykuvan kloonaaminen kloonaamatta sen identiteettiä

Levykuva käynnistyy, palvelu käynnistyy ja asiakkaat yhdistävät. Silloin on aika pysähtyä ja kysyä, kumpi kahdesta hyvin erilaisesta toimenpiteestä juuri tapahtui. Joko kopio palauttaa yhden loogisen yhdyskäytävän, joka oli olemassa aiemmin, tai se lisää laivastoon toisen yhdyskäytävän. Molemmat ovat laillisia, ja niillä on erilaiset seuraukset identiteetille ja pääsylle. Kone, joka käynnistyy puhtaasti, ei todista kumpaakaan.

Kolme ehtoa ratkaisee vastauksen, ja ne ovat ne kolme materiaaliämpäriä, joita levykuva voi kantaa. Lajittele ne ennen kuin levykuva rakennetaan, ei sen jälkeen kun se on otettu käyttöön kahdesti.

Päätä ensin, kumman kahdesta toimenpiteestä teet

Palautus säilyttää yhden palveluidentiteetin. Vanha instanssi on poissa, nimi ja varmenne jäävät, ja asiakkaat luottavat edelleen samaan päätepisteeseen. Lisäys luo toisen identiteetin, joka asiakkaiden, lokien ja mitätöinnin on kaikkien erotettava.

Ero ei ole kosmeettinen. Jos kaksi elävää isäntää esittää saman yhdyskäytävän varmenteen, asiakas ei voi erottaa niitä toisistaan, ei myöskään auditointijälki, ja kyseisen varmenteen mitätöinti poistaa molemmat kerralla. Se voi olla juuri sitä, mitä tarkoituksellinen korkean käytettävyyden suunnittelu haluaa, ja harvoin sitä, mitä kiireinen levykuvan kopio tarkoittaa.

Ensimmäinen päätös on siis lause, joka kirjoitetaan ennen kuin levykuva lähtee rakennusisännältä: tämä kopio palauttaa yhdyskäytävän A, tai tästä kopiosta tulee yhdyskäytävä B. Kaikki sen jälkeen on kirjanpitoa tuota lausetta vastaan. Jos kukaan ei voi kirjoittaa sitä, kopio ei ole valmis rakennettavaksi.

Uudelleenkäytettävät syötteet, identiteetti ja valtuus, käyttöönoton tila

Uudelleenkäytettävä ämpäri on helppo: paketit, läpikäyty kokoonpano ilman salaisuuksia, palvelumallit, koventamisasetukset. Siihen levykuva todella pystyy, ja se voidaan toistaa rajatta.

Identiteetin ja valtuuden ämpäri on se, jossa kopiot menevät pieleen. Yhdyskäytävän yksityinen avain ja varmenne tunnistavat kyseisen yhdyskäytävän jokaiselle asiakkaalle. Varmenteiden myöntäjän allekirjoitusavain on eri objekti, jolla on eri valta: se myöntää identiteettejä. Myöntäjään luottaminen ei tarkoita, että jokainen uusi yhdyskäytävä tarvitsisi myöntämiskyvyn, ja allekirjoitusavaimen lähettäminen levykuvan sisällä antaa tämän kyvyn kaikelle, mikä voi lukea levykuvan.

Käyttöönoton tilan ämpäri on se, jonka ihmiset unohtavat, koska se näyttää kokoonpanolta. Kuunteluosoitteet, osoitealtaat, työnnetyt reitit, resolver-asetukset ja paikallinen integraatio koodaavat kaikki oletuksia ensimmäisestä isännästä. Toinen solmu, joka kopioi ne, voi jakaa altaasta, jonka toinen yhdyskäytävä jo omistaa, tai ohjata asiakkaat resurssiin, joka on olemassa vain alkuperäisen vieressä.

Mitä uudelle solmulle on annettava, ja keneltä

Itsenäisesti hallinnoitu solmu saisi vastaanottaa omat tunnistetietonsa hyväksytyn rekisteröintiprosessin kautta, ja allekirjoitus tapahtuu siellä, missä allekirjoitusavain on, ei uudella isännällä. Kirjaa ylös, mikä identiteetti voidaan vetää pois muita solmuja häiritsemättä; jos vastaus on "kaikki", suunnittelussa on yksi identiteetti, joka teeskentelee kahta.

Verkkoarvot ansaitsevat saman kohtelun. Valitse allas, kuunteluosoite ja joukko työnnettyjä reittejä, jotka eivät törmää olemassa olevaan yhdyskäytävään, ja kirjoita ne valmistelusyötteisiin eikä levykuvaan. Syöte on tarkistettavissa; levykuva ei ole.

On olemassa laillinen välikoitapaus. Tuettu palautus- tai replikointisuunnittelu voi tarkoituksella pitää yhden loogisen palveluidentiteetin isäntien välillä, hallitulla pääsyllä vanhaan kopioon ja kiertosuunnitelmalla. Se on päätös, jolla on omistaja, ei oletus, joka tapahtuu koska levykuva oli kätevä.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Ensimmäinen komento kertoo, minkä identiteetin solmu tosiasiassa esittää ja kuka sen allekirjoitti. Toinen on alkuluettelo, ei todiste: yksityinen materiaali voi elää kyseisen hakemiston ulkopuolella, sovelluksen tietokannassa tai tilannekuvakerroksessa, jota käynnissä oleva tiedostojärjestelmä ei enää näytä.

Mitä levykuvan kopio kantaa hiljaa mukanaan

Tiedoston poistaminen levykuvan uusimmasta versiosta ei poista sitä vanhemmista versioista, kerrosten välimuisteista tai tilannekuvista, jotka otettiin sen olemassaolon aikana. Siksi tunnistetietoja kantavia levykuvia on kohdeltava arkaluontoisina objekteina koko niiden elinkaaren ajan, ei vain rakentamishetkellä.

Tarkista levykuvan sisältö ja valmistelusyötteet erillisinä kysymyksinä. Levykuva vastaa kysymykseen "mitä tämän artefaktin sisällä on", kun taas syötteet vastaavat kysymykseen "miksi tämä instanssi tulee ensimmäisellä käynnistyksellä". Puhdas levykuva, jossa on jaetun avaimen hakeva käynnistyskomentosarja, vastaa ensimmäiseen kysymykseen hyvin ja toiseen huonosti.

Pidä palautuslevykuvat, jotka laillisesti sisältävät salaisuuksia, rajattuina niihin ihmisiin, jotka niitä tarvitsevat, ja kirjaa, missä niitä säilytetään. Vaihtoehto, levykuva, joka on kätevä koska se toimii ilman mitään valmistelua, on sama levykuva, joka antaa kenelle tahansa sen löytävälle yhdyskäytävän identiteetin. Vain toinen näistä kahdesta tehtävästä näkyy rakennuslokissa.

Pääsyn tarkistukset ennen tuotantoa

Ennen kuin solmu ottaa liikennettä, vahvista neljä asiaa: esittämänsä identiteetti, hyväksymänsä asiakkaat, resurssit joihin sen on sallittua päästä, ja paluupolku osoitteille, joita se jakaa.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Tarkista sitten negatiivinen tapaus, joka nappaa onnettomuudet: onko uudella solmulla ylläpitäjän tai asiakkaan pääsy, joka oli tarkoitettu alkuperäiselle? Kopioitu kokoonpano voi kantaa ylimääräisen asiakasmerkinnän, perityn hallintareitin tai push-direktiivin, joka oli mielekäs ensimmäisellä isännällä.

Jos levykuva, jossa on eläviä salaisuuksia, on jo siirtynyt hyväksytyn rajansa ulkopuolelle, vaihda tunnistetiedot ja rajaa kopiot. Tiedoston poistaminen viimeisimmästä rakennuksesta ei ole sama kuin vanhempien kopioiden yhä hallussa olevien tunnistetietojen poistaminen käytöstä, ja näiden kahden tosiasian välinen ero on täsmälleen se ikkuna, jonka hyökkääjä tarvitsee.