VPN સર્વરની ઇમેજ ક્લોન કરવી, તેની ઓળખ ક્લોન કર્યા વિના

ઇમેજ બૂટ થાય છે, સેવા શરૂ થાય છે અને ક્લાયન્ટ જોડાય છે. એ જ ક્ષણ છે થોભીને પૂછવાની કે હમણાં જ બે ઘણી જુદી કામગીરીમાંથી કઈ થઈ. કાં તો નકલ પહેલેથી અસ્તિત્વમાં હતા એક તાર્કિક ગેટવેને પુનઃસ્થાપિત કરે છે, અથવા તે કાફલામાં બીજો ગેટવે ઉમેરે છે. બંને કાયદેસર છે, અને તેમની ઓળખ તથા પ્રવેશ પર જુદી અસરો થાય છે. સ્વચ્છ રીતે શરૂ થતું મશીન બંનેમાંથી કંઈ પણ સાબિત કરતું નથી.

ત્રણ શરતો જવાબ નક્કી કરે છે, અને તે ઇમેજ લઈ જઈ શકે તેવી સામગ્રીની ત્રણ ટોપલીઓ છે. ઇમેજ બનાવતા પહેલાં તેમને વર્ગીકૃત કરો, બે વાર તૈનાત કર્યા પછી નહીં.

પહેલાં નક્કી કરો કે તમે બેમાંથી કઈ કામગીરી કરી રહ્યા છો

પુનઃસ્થાપન એક સેવા ઓળખ રાખે છે. જૂનું ઇન્સ્ટન્સ ગયું, નામ અને પ્રમાણપત્ર રહે છે, અને ક્લાયન્ટ સમાન અંતિમ બિંદુ પર ભરોસો રાખવાનું ચાલુ રાખે છે. ઉમેરો બીજી ઓળખ બનાવે છે જેને ક્લાયન્ટ, લોગ અને રદ કરવાની પ્રક્રિયા બધાએ અલગ પાડવી પડે.

આ ભેદ ફક્ત દેખાવનો નથી. જો બે જીવંત હોસ્ટ એક જ ગેટવે પ્રમાણપત્ર રજૂ કરે, તો ક્લાયન્ટ તેમને અલગ પાડી શકતો નથી, ઓડિટ ટ્રેલ પણ નહીં, અને તે પ્રમાણપત્ર રદ કરવાથી બંને એકસાથે દૂર થાય છે. કદાચ જાણી જોઈને કરાયેલી ઉચ્ચ ઉપલબ્ધતાની રચના એ જ ઇચ્છે છે, અને ઉતાવળમાં કરાયેલી ઇમેજ નકલ ભાગ્યે જ એ ઇચ્છે છે.

તેથી પ્રથમ નિર્ણય એક વાક્ય છે, જે ઇમેજ બિલ્ડ હોસ્ટ છોડે તે પહેલાં લખાય છે: આ નકલ ગેટવે A પુનઃસ્થાપિત કરે છે, અથવા આ નકલ ગેટવે B બને છે. તે પછીનું બધું તે વાક્ય સામે હિસાબ છે. જો કોઈ તે લખી ન શકે, તો નકલ બનાવવા માટે તૈયાર નથી.

પુનઃવપરાયોગ્ય ઇનપુટ, ઓળખ અને સત્તા, તૈનાતી સ્થિતિ

પુનઃવપરાયોગ્ય ટોપલી સહેલી છે: પેકેજ, ગુપ્ત માહિતી વગરનું સમીક્ષિત રૂપરેખાંકન, સેવા નમૂના, કઠોરીકરણ સેટિંગ્સ. ઇમેજ ખરેખર આમાં સારી છે, અને તેને મર્યાદા વગર ફરી ઉત્પન્ન કરી શકાય છે.

ઓળખ અને સત્તાની ટોપલી એ છે જ્યાં નકલો ખોટી પડે છે. ગેટવેની ખાનગી કી અને પ્રમાણપત્ર તે ગેટવેને દરેક ક્લાયન્ટ સામે ઓળખે છે. પ્રમાણપત્ર સત્તાધિકારીની સહી કી અલગ શક્તિ ધરાવતી અલગ વસ્તુ છે: તે ઓળખ ઇશ્યૂ કરે છે. ઇશ્યૂ કરનાર પર ભરોસો રાખવાનો અર્થ એ નથી કે દરેક નવા ગેટવેને ઇશ્યૂ કરવાની ક્ષમતા જોઈએ, અને ઇમેજની અંદર સહી કી મોકલવાથી એ ક્ષમતા દરેક એવી વસ્તુને મળે છે જે ઇમેજ વાંચી શકે.

તૈનાતી સ્થિતિની ટોપલી એ છે જે લોકો ભૂલી જાય છે કારણ કે તે રૂપરેખાંકન જેવી લાગે છે. સાંભળવાના સરનામાં, સરનામા પૂલ, ધકેલાયેલા રૂટ, રિઝોલ્વર સેટિંગ્સ અને સ્થાનિક એકીકરણ બધા પ્રથમ હોસ્ટ વિશે ધારણાઓ સાંકેતિક કરે છે. જે બીજું નોડ તેમને નકલ કરે છે તે અન્ય ગેટવે પાસે પહેલેથી હોય તેવા પૂલમાંથી ફાળવી શકે છે, અથવા ક્લાયન્ટને એવા સ્રોત તરફ મોકલી શકે છે જે ફક્ત મૂળની બાજુમાં જ અસ્તિત્વ ધરાવે છે.

નવા નોડને શું મળવું જોઈએ, અને કોની પાસેથી

સ્વતંત્ર રીતે સંચાલિત નોડને મંજૂર નોંધણી પ્રક્રિયા દ્વારા પોતાના ઓળખપત્ર મળવા જોઈએ, અને સહીની કામગીરી નવા હોસ્ટ પર નહીં પણ જ્યાં સહી કી રહે છે ત્યાં થવી જોઈએ. નોંધો કે કઈ ઓળખ અન્ય નોડને ખલેલ પહોંચાડ્યા વિના પાછી ખેંચી શકાય; જો જવાબ "બધા" હોય, તો રચનામાં એક ઓળખ છે જે પોતાને બે હોવાનો ઢોંગ કરે છે.

નેટવર્ક મૂલ્યોને પણ એ જ વર્તન મળવું જોઈએ. એવો પૂલ, સાંભળવાનું સરનામું અને ધકેલાયેલા રૂટનો સમૂહ પસંદ કરો જે હાલના ગેટવે સાથે અથડાય નહીં, અને તેમને ઇમેજમાં નહીં પણ પ્રોવિઝનિંગ ઇનપુટમાં લખો. ઇનપુટ સમીક્ષાયોગ્ય છે; ઇમેજ નથી.

એક કાયદેસર મધ્યમ કિસ્સો છે. સમર્થિત પુનઃપ્રાપ્તિ કે પ્રતિકૃતિ રચના જાણી જોઈને એક તાર્કિક સેવા ઓળખ હોસ્ટ વચ્ચે રાખી શકે છે, જૂની નકલ પર નિયંત્રિત પ્રવેશ અને પરિભ્રમણ યોજના સાથે. તે માલિક સાથેનો નિર્ણય છે, ઇમેજ અનુકૂળ હતી માટે થતું મૂળભૂત નહીં.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

પ્રથમ આદેશ કહે છે કે નોડ ખરેખર કઈ ઓળખ રજૂ કરે છે અને કોણે તેની સહી કરી. બીજો પ્રારંભિક યાદી છે, પુરાવો નહીં: ખાનગી સામગ્રી તે ડિરેક્ટરીની બહાર, કોઈ એપ્લિકેશન ડેટાબેઝની અંદર, અથવા એવા સ્નેપશોટ સ્તરમાં રહી શકે છે જે ચાલુ ફાઇલસિસ્ટમ હવે બતાવતું નથી.

ઇમેજની નકલ શાંતિથી શું વહન કરે છે

ઇમેજના નવીનતમ સુધારામાંથી ફાઇલ ડિલીટ કરવાથી તે જૂના સુધારા, સ્તર કેશ કે તે અસ્તિત્વમાં હતી ત્યારે લીધેલા સ્નેપશોટમાંથી દૂર થતી નથી. તેથી ઓળખપત્ર ધરાવતી ઇમેજને તેના આખા જીવનકાળ દરમિયાન સંવેદનશીલ વસ્તુ તરીકે ગણવી પડે, ફક્ત બનાવવાની ક્ષણે નહીં.

ઇમેજની સામગ્રી અને પ્રોવિઝનિંગ ઇનપુટને અલગ પ્રશ્નો તરીકે તપાસો. ઇમેજ જવાબ આપે છે "આ કલાકૃતિની અંદર શું છે", જ્યારે ઇનપુટ જવાબ આપે છે "પ્રથમ બૂટ પર આ ઇન્સ્ટન્સ શું બનશે". વહેંચાયેલી કી લાવતી બૂટસ્ટ્રેપ સ્ક્રિપ્ટ સાથેની સ્વચ્છ ઇમેજ પ્રથમ પ્રશ્નનો સારો અને બીજાનો ખરાબ જવાબ આપે છે.

કાયદેસર રીતે ગુપ્ત માહિતી ધરાવતી પુનઃપ્રાપ્તિ ઇમેજને જેમને તેની જરૂર છે તેમના સુધી મર્યાદિત રાખો, અને ક્યાં સંગ્રહિત છે તે નોંધો. વિકલ્પ, એટલે કે કોઈ પણ પ્રોવિઝનિંગ વગર કામ કરતી હોવાથી અનુકૂળ ઇમેજ, એ જ ઇમેજ છે જે તેને શોધનાર દરેકને ગેટવેની ઓળખ આપે છે. તે બે કાર્યોમાંથી ફક્ત એક જ બિલ્ડ લોગમાં દેખાય છે.

ઉત્પાદન પહેલાં પ્રવેશ તપાસ

નોડ ટ્રાફિક લે તે પહેલાં ચાર વસ્તુની ખાતરી કરો: તે જે ઓળખ રજૂ કરે છે, જે ક્લાયન્ટ સ્વીકારશે, જે સ્રોત સુધી પહોંચવાની પરવાનગી છે, અને જે સરનામાં આપે છે તેમના માટે પરત માર્ગ.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

પછી નકારાત્મક કિસ્સો તપાસો, જે અકસ્માત પકડે છે: નવા નોડ પાસે મૂળ માટે ધારેલો એડમિનિસ્ટ્રેટર કે ક્લાયન્ટ પ્રવેશ છે? નકલ કરેલું રૂપરેખાંકન વધારાની ક્લાયન્ટ એન્ટ્રી, વારસાગત સંચાલન રૂટ, અથવા પ્રથમ હોસ્ટ પર અર્થપૂર્ણ હતો તેવો પુશ નિર્દેશ લઈ જઈ શકે છે.

જો જીવંત ગુપ્ત માહિતી ધરાવતી ઇમેજ પહેલેથી તેની મંજૂર મર્યાદા વટાવી ગઈ હોય, તો ઓળખપત્ર બદલો અને નકલોને નિયંત્રિત કરો. નવીનતમ બિલ્ડમાંથી ફાઇલ દૂર કરવી એ જૂની નકલો પાસે હજુ રહેલા ઓળખપત્રને નિવૃત્ત કરવા સમાન નથી, અને તે બે હકીકતો વચ્ચેનું અંતર એ જ બારી છે જે હુમલાખોરને જોઈએ છે.