VPN-kiszolgáló lemezképének klónozása az identitás klónozása nélkül

A lemezkép elindul, a szolgáltatás elindul, és a kliensek csatlakoznak. Ez az a pillanat, amikor meg kell állni és megkérdezni, melyik a két nagyon különböző művelet közül történt éppen. Vagy a másolat helyreállít egy korábban létezett logikai átjárót, vagy egy másodikat ad a flottához. Mindkettő jogszerű, és különböző következményeik vannak az identitásra és a hozzáférésre. Egy tisztán induló gép egyiket sem bizonyítja.

Három feltétel dönti el a választ, és ezek az anyag három vödre, amelyet egy lemezkép hordozhat. Rendezd őket a lemezkép építése előtt, ne azután, hogy kétszer telepítették.

Először döntsd el, melyik a két művelet közül

A helyreállítás egy szolgáltatásidentitást tart meg. A régi példány eltűnt, a név és a tanúsítvány megmarad, és a kliensek továbbra is ugyanabban a végpontban bíznak. A hozzáadás egy második identitást hoz létre, amelyet a klienseknek, a naplóknak és a visszavonásnak mind meg kell különböztetniük.

A különbség nem kozmetikai. Ha két élő gazdagép ugyanazt az átjáró-tanúsítványt mutatja be, egy kliens nem tudja megkülönböztetni őket, egy auditnyom sem, és a tanúsítvány visszavonása mindkettőt egyszerre távolítja el. Lehet, hogy pontosan ezt akarja egy szándékos magas rendelkezésre állású tervezés, és ritkán ezt akarja egy sietős lemezkép-másolat.

Tehát az első döntés egy mondat, amelyet azelőtt írnak le, hogy a lemezkép elhagyná az építő gazdagépet: ez a másolat helyreállítja az A átjárót, vagy ez a másolat B átjáróvá válik. Minden, ami ezután következik, elszámolás ezzel a mondattal szemben. Ha senki nem tudja leírni, a másolat nem kész az építésre.

Újrahasznosítható bemenetek, identitás és jogosultság, telepítési állapot

Az újrahasznosítható vödör a könnyű: csomagok, titkokat nem tartalmazó átvizsgált konfiguráció, szolgáltatássablonok, megerősítési beállítások. Ebben igazán jó egy lemezkép, és korlátlanul reprodukálható.

Az identitás és jogosultság vödre az, ahol a másolatok elromlanak. Az átjáró privát kulcsa és tanúsítványa azonosítja azt az átjárót minden kliens felé. A tanúsító hatóság aláíró kulcsa más tárgy, más hatalommal: identitásokat bocsát ki. Egy kibocsátóban bízni nem jelenti azt, hogy minden új átjárónak szüksége van a kibocsátás képességére, és az aláíró kulcs lemezképen belüli szállítása ezt a képességet mindennek megadja, ami a lemezképet olvasni tudja.

A telepítési állapot vödre az, amelyet az emberek elfelejtenek, mert konfigurációnak látszik. A figyelő címek, a címkészletek, a kiküldött útvonalak, a feloldó beállításai és a helyi integráció mind az első gazdagépre vonatkozó feltevéseket kódolnak. Egy második csomópont, amely lemásolja őket, olyan készletből oszthat ki, amely már egy másik átjáró tulajdonában van, vagy olyan erőforrásra irányíthatja a klienseket, amely csak az eredeti mellett létezik.

Mit kell kapnia egy új csomópontnak, és kitől

Egy önállóan kezelt csomópontnak saját hitelesítő adatait a jóváhagyott regisztrációs folyamaton keresztül kellene megkapnia, az aláírási művelet pedig ott történjen, ahol az aláíró kulcs él, nem az új gazdagépen. Jegyezd fel, melyik identitás vonható vissza a többi csomópont zavarása nélkül; ha a válasz "mind", akkor a tervezésben egy identitás van, amely kettőnek adja ki magát.

A hálózati értékek ugyanezt a bánásmódot érdemlik. Válassz olyan készletet, figyelő címet és kiküldött útvonalakat, amelyek nem ütköznek a meglévő átjáróval, és írd őket a kiépítési bemenetekbe, ne a lemezképbe. A bemenet átvizsgálható; a lemezkép nem.

Van egy jogszerű köztes eset. Egy támogatott helyreállítási vagy replikációs tervezés szándékosan megtarthat egy logikai szolgáltatásidentitást a gazdagépek között, a régi másolathoz való ellenőrzött hozzáféréssel és rotációs tervvel. Ez tulajdonossal rendelkező döntés, nem olyan alapértelmezés, amely azért történik, mert a lemezkép kényelmes volt.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Az első parancs megmondja, milyen identitást mutat be valójában a csomópont, és ki írta alá. A második kezdőleltár, nem bizonyíték: a privát anyag élhet azon a könyvtáron kívül, egy alkalmazás adatbázisában vagy olyan pillanatkép-rétegben, amelyet a futó fájlrendszer már nem mutat.

Mit hordoz csendesen a lemezkép egy másolata

Egy fájl törlése a lemezkép legújabb változatából nem távolítja el a régebbi változatokból, a réteg-gyorsítótárakból vagy a létezése alatt készült pillanatképekből. Ezért a hitelesítő adatokat hordozó lemezképeket teljes élettartamuk alatt érzékeny objektumként kell kezelni, nem csak az építés pillanatában.

Vizsgáld meg a lemezkép tartalmát és a kiépítési bemeneteket külön kérdésként. A lemezkép arra válaszol, "mi van ezen az artefaktumon belül", a bemenetek pedig arra, "mivé válik ez a példány az első indításkor". Egy tiszta lemezkép egy közös kulcsot letöltő rendszerindító szkripttel jól válaszol az első kérdésre és rosszul a másodikra.

Tartsd a jogszerűen titkokat tartalmazó helyreállítási lemezképeket azokra korlátozva, akiknek szükségük van rájuk, és jegyezd fel, hol tárolják őket. Az alternatíva, egy lemezkép, amely azért kényelmes, mert minden kiépítés nélkül működik, ugyanaz a lemezkép, amely bárkinek, aki megtalálja, megadja az átjáró identitását. Csak az egyik feladat jelenik meg az építési naplóban.

Belépési ellenőrzések élesítés előtt

Mielőtt a csomópont forgalmat fogad, erősítsd meg négy dolgot: a bemutatott identitást, az elfogadandó klienseket, az eléréséhez engedélyezett erőforrásokat és a kiosztott címek visszaútját.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Utána vizsgáld a negatív esetet, amely a baleseteket elkapja: van-e az új csomópontnak olyan rendszergazdai vagy klienshozzáférése, amelyet az eredetihez szántak? Egy másolt konfiguráció hordozhat extra kliensbejegyzést, örökölt felügyeleti útvonalat vagy olyan push direktívát, amelynek az első gazdagépen volt értelme.

Ha egy élő titkokat tartalmazó lemezkép már túllépte a jóváhagyott határát, cseréld le a hitelesítő adatokat, és korlátozd a másolatokat. A fájl eltávolítása a legutóbbi építésből nem ugyanaz, mint a régebbi másolatok birtokában lévő hitelesítő adatok visszavonása, és a két tény közötti rés pontosan az az ablak, amelyre egy támadónak szüksége van.