Clonar a imaxe dun servidor VPN sen clonar a súa identidade

A imaxe arrinca, o servizo iníciase e os clientes conéctanse. Ese é o momento de parar e preguntar cal de dúas operacións moi distintas acaba de ocorrer. Ou a copia restaura unha pasarela lóxica que xa existía, ou engade unha segunda pasarela á frota. Ambas son lexítimas e teñen consecuencias distintas para a identidade e o acceso. Unha máquina que arrinca limpa non demostra ningunha das dúas.

Tres condicións deciden a resposta, e son os tres compartimentos de material que unha imaxe pode levar. Ordéneos antes de construír a imaxe, non despois de despregala dúas veces.

Primeiro decida cal das dúas operacións está a realizar

Unha restauración conserva unha identidade de servizo. A instancia antiga desapareceu, o nome e o certificado permanecen, e os clientes seguen confiando no mesmo punto final. Unha adición crea unha segunda identidade que os clientes, os rexistros e a revocación deben distinguir.

A distinción non é cosmética. Se dous hosts activos presentan o mesmo certificado de pasarela, un cliente non pode distinguilos, nin tampouco un rastro de auditoría, e revogar ese certificado elimina ambos á vez. Pode ser exactamente o que busca un deseño deliberado de alta dispoñibilidade, e raramente é o que pretende unha copia apresurada dunha imaxe.

Así que a primeira decisión é unha frase, escrita antes de que a imaxe saia do host de construción: esta copia restaura a pasarela A, ou esta copia convértese na pasarela B. Todo o demais é contabilidade fronte a esa frase. Se ninguén pode escríbela, a copia non está lista para construírse.

Entradas reutilizables, identidade e autoridade, estado de despregamento

O compartimento reutilizable é o fácil: paquetes, configuración revisada que non contén segredos, modelos de servizo, axustes de endurecemento. É para o que unha imaxe serve de verdade, e pode reproducirse sen límite.

O compartimento de identidade e autoridade é onde as copias saen mal. A clave privada e o certificado dunha pasarela identifican esa pasarela ante cada cliente. A clave de sinatura da autoridade de certificación é un obxecto distinto cun poder distinto: emite identidades. Confiar nun emisor non significa que cada nova pasarela necesite a capacidade de emitir, e enviar a clave de sinatura dentro dunha imaxe concede esa capacidade a calquera cousa que poida ler a imaxe.

O compartimento de estado de despregamento é o que a xente esquece porque parece configuración. Os enderezos de escoita, os pools de enderezos, as rutas empurradas, os axustes do resolutor e a integración local codifican suposicións sobre o primeiro host. Un segundo nodo que as copia pode asignar dun pool que xa posúe outra pasarela, ou dirixir clientes cara a un recurso que só existe xunto ao orixinal.

Que debe recibir un nodo novo, e de quen

Un nodo xestionado de forma independente debería recibir as súas propias credenciais mediante o proceso de alta aprobado, coa operación de sinatura realizada onde vive a clave de sinatura e non no novo host. Anote que identidade pode retirarse sen perturbar os demais nodos; se a resposta é "todas", o deseño ten unha identidade que finxe ser dúas.

Os valores de rede merecen o mesmo trato. Escolla un pool, un enderezo de escoita e un conxunto de rutas empurradas que non colisionen coa pasarela existente, e escríbaos nas entradas de aprovisionamento en lugar de na imaxe. A entrada é revisable; a imaxe non.

Existe un caso intermedio lexítimo. Un deseño de recuperación ou replicación soportado pode manter deliberadamente unha identidade lóxica de servizo entre hosts, con acceso controlado á copia antiga e un plan de rotación. É unha decisión cun propietario, non un valor por defecto que ocorre porque a imaxe resultaba cómoda.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

O primeiro comando dille que identidade presenta realmente o nodo e quen a asinou. O segundo é un inventario inicial, non unha proba: o material privado pode vivir fóra dese directorio, dentro dunha base de datos de aplicación ou nunha capa de instantánea que o sistema de ficheiros en execución xa non mostra.

Que leva en silencio unha copia da imaxe

Borrar un ficheiro da revisión máis recente dunha imaxe non o elimina de revisións anteriores, cachés de capas nin instantáneas tomadas mentres existía. Por iso as imaxes que levan credenciais deben tratarse como obxectos sensibles durante toda a súa vida, e non só no momento de construírse.

Comprobe o contido da imaxe e as entradas de aprovisionamento como preguntas separadas. A imaxe responde "que hai dentro deste artefacto", mentres que as entradas responden "en que se converterá esta instancia no primeiro arrinque". Unha imaxe limpa cun script de arrinque que obtén unha clave compartida responde ben á primeira pregunta e mal á segunda.

Manteña as imaxes de recuperación que conteñen segredos lexitimamente restrinxidas ás persoas que as necesitan, e anote onde se gardan. A alternativa, unha imaxe cómoda porque funciona sen ningún aprovisionamento, é a mesma imaxe que outorga a identidade da pasarela a quen a atope. Só unha desas dúas tarefas aparece nun rexistro de construción.

Comprobacións de admisión antes de produción

Antes de que o nodo acepte tráfico, confirme catro cousas: a identidade que presenta, os clientes que aceptará, os recursos aos que ten permiso para chegar e a ruta de retorno para os enderezos que reparte.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Logo comprobe o caso negativo, que é o que atrapa os accidentes: ten o nodo novo acceso de administrador ou de cliente que estaba pensado para o orixinal? Unha configuración copiada pode levar unha entrada extra de cliente, unha ruta de xestión herdada ou unha directiva push que tiña sentido no primeiro host.

Se unha imaxe con segredos activos xa pasou máis alá do seu límite aprobado, substitúa as credenciais e conteña as copias. Quitar o ficheiro da última compilación non é o mesmo que retirar a credencial que as copias antigas aínda conservan, e a fenda entre eses dous feitos é exactamente a xanela que necesita un atacante.