OpenVPN-profil yn Git: wat der út moat foar't jo it fêstlizze

Profielen tsjinje tagelyk twa doelen: se lizze ferbiningsynstellingen fêst, en se drage in wurkjend bondel oanmeldgegevens. De bestânsútwreiding fertelt jo neat oer hokker fan de beide jo yn 'e hân hawwe. Lês de ynhâld foar't jo beslute dat it by in bewarplak heart.

De stappen hjirûnder geane derfan út dat in kliïntsjabloan foar ferzje-ynstelling oerwage wurdt. Fier se yn folchoarder út, en stopje foar't jo eat fêstlizze dat jo net ynlûke kinne.

Lês it bestân dat jo tafoegje wolle

Begjin by de wierlike bytes, want in profyl dat ferwiist nei aparte bestannen sjocht der folslein oars út as ien dat se ynbêdet. Sykje de PEM-blokmarkearrings en de ynbêde labels mei de nammen ca, cert, key, tls-auth en tls-crypt, en deselde gong lit jo beide gefallen sjen. In fersifere partikuliere kaai jildt noch altyd as gefoelich materiaal, en in dielde tls-auth- of tls-crypt-kaai is in oanmeldgegeven sels as it net de identiteit fan in brûker is. Pas deselde beoardieling ta op alles dat njonken it profyl tafoege wurdt, ynklusyf argiven en ynstallaasjeskripts dy't nei in oanmeldbestân ferwize.

Sjoch dan nei de taheakte set ynstee fan de wurkbeam. git diff --cached lit sjen wat de fêstlizzing wier befetsje sil, en dat is de iennichste ferzje dy't foar dit beslút fan belang is.

Beslút wat it bewarplak ferspriede mei

In sjabloan kin de dielde, neisjoen ynstellingen drage en nammejouwing blanko's foar alles wat in persoan by ynskeakeling krijt. Wat it net drage kin is in brûkbere identiteit, want in bewarplak ferspriedt nei elkenien dy't it lêze kin, automatisearring ynbegrepen. In partikulier bewarplak fernauwt it publyk sûnder de fraach te feroarjen oft elke lêzer foar dat oanmeldgegeven befoege is.

In negearregel foarkomt takomstige tafoegings en docht neat oan wat al fêstlein is. Dy asymmetry is it wurdich om foar de earste fêstlizzing eigen te meitsjen, net nei de tsiende. Nammen en adressen fan ynfrastruktuer binne in aparte beoardieling: se binne gjin autentikaasjegeheimen, mar se kinne mear iepenje as in team fan doel is te publisearjen. Nim dat beslút eksplisyt ynstee fan elke regel yn wachtwurd of iepenbier te sortearjen.

As it materiaal al yn 'e skiednis sit

It fuortheljen fan de regel yn in nije fêstlizzing lit de âlde ferzje ûnoantaaste foar elkenien dy't it ophellet. Behannelje de bleatstelling as echt: identifisearje it type oanmeldgegeven, en fyn dan it orgaan dat it ûnjildich meitsje kin. In kliïntsertifikaat wurdt ynlutsen en de ynlûklist op 'e nij makke; in dielde kaai fan it kontrôlekanaal wurdt ferfongen op 'e tsjinner en op elke kliïnt dy't him brûkt.

De beide hawwe in tige ferskillende ynfloedradius, en it plan heart foar it begjin te sizzen hokker jo útfiere. Fyn de fêstlizzing dy't it materiaal yntrodusearre hat mei in syktocht fan it type git log --all -S 'BEGIN PRIVATE KEY', sadat de omfang fan it skuonjen bekend is en net rieden. In kloan fan in kollega of in foarke hat miskien al it âlde objekt, dêrom komt it ynlûken earst en it skuonjen letter.

Skuonje pas nei it befêstigjen

It oerskriuwen fan 'e skiednis feroaret elke fêstlizzing nei dy't jo bewurkje, dat it freget earst oerienstimming fan 'e eigner fan it bewarplak en fan 'e minsken dy't der yn wurkje. In twongen push is gjin reparaasje; it is in koördinaasje-evenemint mei syn eigen weromdraai-risiko. Plan it, meitsje in reservekopy, en fertel it team wannear't it bart.

Nei ôfrin, kontrolearje de hjoeddeiske beam en de oerbliuwende skiednis ynstee fan it gearfetsel fan it helpmiddel te fertrouwen.

Bewarje de útkomst as twa artefakten: it sjabloan dat feilich te dielen is, en de ynventaris fan oanmeldgegevens dy't troch it ynskeakelproses útjûn binne. Gjin fan beide freget dat in brûkbere identiteit yn it bewarplak wennet.

Dy skieding is de echte reparaasje, en it oerlibbet de folgjende persoan dy't in profyl fêstlizze wol.