VPN սերվերի պատկերի կլոնավորում՝ առանց դրա ինքնության կլոնավորման

Պատկերը բեռնվում է, ծառայությունը մեկնարկում է, և հաճախորդները միանում են։ Հենց այդ պահին պետք է կանգնել և հարցնել՝ երկու շատ տարբեր գործողություններից ո՞րն է հենց նոր տեղի ունեցել։ Կամ պատճենը վերականգնում է նախկինում գոյություն ունեցած մեկ տրամաբանական դարպաս, կամ ավելացնում է երկրորդ դարպասը նավատորմին։ Երկուսն էլ օրինական են, և դրանք տարբեր հետևանքներ ունեն ինքնության և մուտքի համար։ Մաքուր բեռնվող մեքենան ոչ մեկն է ապացուցում։

Երեք պայման է որոշում պատասխանը, և դրանք այն նյութի երեք զամբյուղներն են, որ պատկերը կարող է կրել։ Դասավորեք դրանք նախքան պատկերի կառուցումը, ոչ թե այն բանից հետո, երբ այն երկու անգամ տեղակայվել է։

Նախ որոշեք, թե երկու գործողություններից որն եք կատարում

Վերականգնումը պահպանում է մեկ ծառայության ինքնություն։ Հին օրինակը անհետացել է, անունը և վկայագիրը մնում են, և հաճախորդները շարունակում են վստահել նույն վերջնակետին։ Ավելացումը ստեղծում է երկրորդ ինքնություն, որը հաճախորդները, մատյանները և չեղարկումը բոլորը պետք է տարբերեն։

Տարբերությունը կոսմետիկ չէ։ Եթե երկու կենդանի հոսթ ներկայացնում են նույն դարպասի վկայագիրը, հաճախորդը չի կարող տարբերել նրանց, աուդիտի հետքը նույնպես չի կարող, և այդ վկայագրի չեղարկումը միանգամից հեռացնում է երկուսին։ Դա գուցե հենց այն է, ինչ ուզում է դիտավորյալ բարձր հասանելիության ձևավորումը, և հազվադեպ է այն, ինչ նպատակ ունի շտապ պատկերի պատճենը։

Այսպիսով՝ առաջին որոշումը նախադասություն է, գրված նախքան պատկերը կթողնի կառուցման հոսթը. այս պատճենը վերականգնում է A դարպասը, կամ այս պատճենը դառնում է B դարպաս։ Ամեն ինչ դրանից հետո հաշվապահություն է այդ նախադասության դեմ։ Եթե ոչ ոք չի կարող գրել այն, պատճենը պատրաստ չէ կառուցման։

Վերօգտագործելի մուտքեր, ինքնություն և լիազորություն, տեղակայման վիճակ

Վերօգտագործելի զամբյուղը հեշտն է. փաթեթներ, գաղտնիքներ չպարունակող վերանայված կոնֆիգուրացիա, ծառայության ձևանմուշներ, կարծրացման կարգավորումներ։ Սա է, ինչում պատկերն իսկապես լավ է, և այն կարելի է վերարտադրել անսահմանափակ։

Ինքնության և լիազորության զամբյուղը այն տեղն է, որտեղ պատճենները սխալվում են։ Դարպասի գաղտնի բանալին և վկայագիրը նույնականացնում են այդ դարպասը յուրաքանչյուր հաճախորդի առաջ։ Վկայագրային մարմնի ստորագրման բանալին այլ օբյեկտ է այլ իշխանությամբ. այն թողարկում է ինքնություններ։ Թողարկողին վստահելը չի նշանակում, որ յուրաքանչյուր նոր դարպասի պետք է թողարկելու ունակություն, և ստորագրման բանալին պատկերի ներսում ուղարկելը այդ ունակությունը տալիս է ամեն ինչի, ինչ կարող է կարդալ պատկերը։

Տեղակայման վիճակի զամբյուղը այն է, որը մարդիկ մոռանում են, որովհետև այն կոնֆիգուրացիայի է նման։ Լսողության հասցեները, հասցեների լողավազանները, հրված երթուղիները, լուծիչի կարգավորումները և տեղական ինտեգրումը բոլորը կոդավորում են ենթադրություններ առաջին հոսթի մասին։ Երկրորդ հանգույցը, որը պատճենում է դրանք, կարող է բաշխել լողավազանից, որն արդեն պատկանում է մեկ այլ դարպասի, կամ հաճախորդներին ուղղել ռեսուրսի, որը գոյություն ունի միայն բնագրի կողքին։

Ինչ պետք է ստանա նոր հանգույցը, և ումից

Անկախ կառավարվող հանգույցը պետք է ստանա իր սեփական հավատարմագրերը հաստատված գրանցման գործընթացի միջոցով, իսկ ստորագրման գործողությունը պետք է տեղի ունենա այնտեղ, որտեղ ապրում է ստորագրման բանալին, ոչ թե նոր հոսթի վրա։ Գրանցեք, թե որ ինքնությունը կարելի է հետ կանչել առանց մյուս հանգույցներին խանգարելու. եթե պատասխանը «բոլորը» է, ձևավորումն ունի մեկ ինքնություն, որը ձևացնում է երկուսը։

Ցանցային արժեքները նույն վերաբերմունքին են արժանի։ Ընտրեք լողավազան, լսողության հասցե և հրված երթուղիների հավաքածու, որոնք չեն բախվում գոյություն ունեցող դարպասի հետ, և գրեք դրանք մատակարարման մուտքերում, ոչ թե պատկերում։ Մուտքը վերանայելի է. պատկերը՝ ոչ։

Կա օրինական միջանկյալ դեպք։ Աջակցվող վերականգնման կամ կրկնօրինակման ձևավորումը կարող է դիտավորյալ պահել մեկ տրամաբանական ծառայության ինքնություն հոսթերի միջև՝ հին պատճենի նկատմամբ վերահսկվող մուտքով և պտտման պլանով։ Դա սեփականատեր ունեցող որոշում է, ոչ թե լռելյայն, որ տեղի է ունենում, որովհետև պատկերը հարմար էր։

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Առաջին հրամանը ասում է, թե հանգույցն իրականում որ ինքնությունն է ներկայացնում և ով է ստորագրել այն։ Երկրորդը մեկնարկային գույքագրում է, ոչ ապացույց. գաղտնի նյութը կարող է ապրել այդ պանակից դուրս, հավելվածի տվյալների բազայում կամ պահոցի շերտում, որը աշխատող ֆայլային համակարգն այլևս չի ցուցադրում։

Ինչ է լուռ կրում պատկերի պատճենը

Պատկերի ամենանոր վերանայումից ֆայլ ջնջելը այն չի հեռացնում ավելի հին վերանայումներից, շերտերի քեշերից կամ այն պահոցներից, որոնք արվել են, երբ այն գոյություն ուներ։ Այդ պատճառով հավատարմագրեր կրող պատկերները պետք է դիտարկել որպես զգայուն օբյեկտներ իրենց ողջ կյանքի ընթացքում, ոչ միայն կառուցման պահին։

Ստուգեք պատկերի պարունակությունը և մատակարարման մուտքերը որպես առանձին հարցեր։ Պատկերը պատասխանում է «ինչ կա այս արտեֆակտի ներսում», իսկ մուտքերը՝ «ինչ կդառնա այս օրինակը առաջին բեռնման ժամանակ»։ Մաքուր պատկերը՝ ընդհանուր բանալի բերող բեռնման սկրիպտով, լավ է պատասխանում առաջին հարցին և վատ՝ երկրորդին։

Պահեք օրինական գաղտնիքներ պարունակող վերականգնման պատկերները սահմանափակված նրանցով, ովքեր դրանց կարիքն ունեն, և գրանցեք, թե որտեղ են դրանք պահվում։ Այլընտրանքը՝ պատկեր, որը հարմար է, որովհետև աշխատում է առանց որևէ մատակարարման, նույն պատկերն է, որը տալիս է դարպասի ինքնությունը ցանկացածին, ով գտնում է այն։ Այդ երկու առաջադրանքներից միայն մեկն է երևում կառուցման մատյանում։

Ընդունելության ստուգումներ մինչ արտադրությունը

Նախքան հանգույցը կընդունի տրաֆիկ, հաստատեք չորս բան. նրա ներկայացրած ինքնությունը, այն հաճախորդները, որոնց այն կընդունի, այն ռեսուրսները, որոնց հասնելու թույլտվությունն ունի, և վերադարձի ուղին այն հասցեների համար, որոնք այն բաժանում է։

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Ապա ստուգեք բացասական դեպքը, որը հենց պատահարներն է որսում. արդյո՞ք նոր հանգույցն ունի ադմինիստրատորի կամ հաճախորդի մուտք, որը նախատեսված էր բնագրի համար։ Պատճենված կոնֆիգուրացիան կարող է կրել լրացուցիչ հաճախորդի գրառում, ժառանգված կառավարման երթուղի կամ push հրահանգ, որն իմաստ ուներ առաջին հոսթում։

Եթե կենդանի գաղտնիքներ պարունակող պատկերն արդեն դուրս է եկել իր հաստատված սահմանից, փոխարինեք հավատարմագրերը և զսպեք պատճենները։ Ֆայլը վերջին կառուցումից հեռացնելը նույնը չէ, ինչ ավելի հին պատճենների մոտ դեռ գտնվող հավատարմագրի շահագործումից հանելը, և այդ երկու փաստերի միջև ընկած բացը հենց այն պատուհանն է, որն անհրաժեշտ է հարձակվողին։