Építsen újra egy Raspberry Pi VPN-készüléket a kulcsa másolása nélkül

Egyetlen rendszerindítás lemezképből még nem tesz egy Pi-t újraépíthető készülékké. Egy kis bemenetkészletre van szükség, amely újra alkalmazható: karbantartott alap, deklarált konfiguráció, az alkalmazás maradandó adatai és egy eszközidentitás, amely csak ahhoz a kártyához tartozik. Ha az utóbbiról megfeledkezik, minden csere egy hitelesítő adat klónjává válik.

Az alábbi lépések munkasorrendet jelentenek, nem eszközajánlást. Bármely konfigurációs rendszer megfelel, amely ki tudja fejezni őket.

Először listázza a négy bemenettípust

Az alaplemezkép és csomagjai határozzák meg az operációs rendszert, az architektúrát és azt, honnan jönnek a frissítések, a lemezkép-építő pedig csak akkor segít, ha az általa megnevezett eszközt még karbantartják az Ön kiadásához. A deklarált konfiguráció az a rész, amelyet egy ember átnéz: hálózati szerepek, szolgáltatásbeállítások és az életciklus-műveletek, amelyekre minden szolgáltatásnak szüksége van. A maradandó alkalmazásadatok mindazok, amelyeket a szolgáltatás nem tud újragenerálni, és ezek helye és biztonsági mentési módja az alkalmazáshoz tartozik, nem a lemezképhez. Az eszközidentitások és titkok a negyedik bemenet, és éppen ezekről feledkeznek meg az emberek, amikor egy működő kártyát klónoznak.

Írja meg a négy listát, mielőtt bármit újraépít. Az üres sorú lista olyan döntés, amelyet még nem hozott meg.

Tartsa a titkokat a tárolón kívül, és mondja meg, hol élnek

A tároló jó otthon az átnézett sablonoknak és a nem titkos konfigurációnak, és rossz otthon a VPN privát kulcsainak, az újrahasználható rendszergazdai hitelesítő adatoknak és a diagnosztikai archívumoknak. Ha egy titoknak léteznie kell az eszközön, jegyezze fel, honnan származik, ki olvashatja és hogyan forgatják. Az egyetlen SD-kártyán élő kulcs egyetlen meghibásodási pont, míg a minden kártyára másolt kulcs tulajdonos nélküli, a teljes flottára kiterjedő hitelesítő adat. Egyik sem helyreállítási terv.

A próba egyszerű: ha a tároló holnap kiszivárogna, mit nyerne egy támadó? A sablonok és topológiai jegyzetek túlélik. Egy működő identitás nem.

Az automatizálás birtokolja azt, amit újra tud futtatni

Az Ansible modellje a kezelt csomópontok leltárát külön tartja a daraboktól, feladatoktól, szerepektől és a feladat változást jelentő eseményére futó kezelőktől. Ezt a szerkezetet használva adjon minden szolgáltatásnak egyetlen konfigurációtulajdonost ahelyett, hogy újrajátszaná egy shell előzményeit. Részesítse előnyben a kétszeri futtatásra biztonságos műveleteket, és döntse el tudatosan, hogyan jut el a módosított fájl a futó folyamathoz. Egy feladat, amely biztosítja egy szolgáltatás elindítását, nem feltétlenül tölti újra az éppen átírt konfigurációt.

Az adminisztráció szakaszait is válassza szét. A rendszerindítási kapcsolat, a rutinkonfiguráció és a VPN-függő kezelés három különböző ablak, és a harmadik elveheti a saját hozzáférését, ha az újraépítés alaphelyzetbe állítja az alatta lévő hálózatot. Tartson fenn egy független bejutási útvonalat.

Szándékosan állítsa helyre az adatokat és az identitást

A konténerkötetek a konténer életciklusától függetlenül megmaradnak, a konténeren belüli írható réteg viszont nem, ezért a konténer lemezképből történő újralétrehozása nem hozza vissza az állapotot, amelyet az alkalmazás használt, ahogyan a kötetek dokumentációja leírja. Jegyezze fel a köteteket, csatolási pontokat és külső szolgáltatásokat, amelyektől a készülék függ, és használja az alkalmazás saját mentési és helyreállítási folyamatát. Egy hiba nélkül induló konténer nem bizonyítja, hogy az adatbázisa és a fájljai összhangban vannak.

Az identitásnál döntse el, hogy ugyanazt az eszközt állítja helyre, vagy cserét regisztrál, mert ezek különböző műveletek különböző tisztítással.

Egyeztesse a régi partner hozzáférését, mielőtt máshol aktiválna egy identitást, és csak utána tesztelje az újraépített készüléket izolált vagy helyreállítási környezetben. Ellenőrizze a szükséges adatokat, a helyes identitást, a tulajdonossal rendelkező frissítési útvonalat és a tervezett hálózati házirendet.

A rendszerindítható lemezkép egy a négy bemenet közül, és ezt a legkönnyebb reprodukálni.