Klóna VPN-þjónarímynd án þess að klóna auðkenni hennar

Ímyndin ræsist, þjónustan hefst og biðlarar tengjast. Þetta er augnablikið til að staldra við og spyrja hvor af tveimur mjög ólíkum aðgerðum hafi einmitt átt sér stað. Annaðhvort endurheimtir afritið eina rökrétta gátt sem var til áður, eða það bætir annarri gátt við flotann. Bæði eru lögmæt og hafa ólíkar afleiðingar fyrir auðkenni og aðgang. Vél sem kemur hreint upp sannar hvorugt.

Þrjú skilyrði ráða svarinu og þau eru þrír fötur efnisins sem ímynd getur borið. Raðið þeim áður en ímyndin er byggð, ekki eftir að hún hefur verið sett upp tvisvar.

Ákveðið fyrst hvorri aðgerðinni þið eruð að framkvæma

Endurheimt heldur einu þjónustuauðkenni. Gamla tilvikið er farið, nafnið og vottorðið vera áfram og biðlarar halda áfram að treysta sama endapunkti. Viðbót býr til annað auðkenni sem biðlarar, annálar og afturköllun verða öll að greina á milli.

Mismunurinn er ekki kosmetískur. Ef tveir lifandi hýslar sýna sama gáttarvottorðið getur biðlari ekki greint þá í sundur, og auditslóð ekki heldur, og afturköllun þess vottorðs fjarlægir báða í einu. Það kann að vera einmitt það sem viljandi hönnun fyrir háa framboðshefð vill, og er sjaldan það sem skjótfengið ímyndarafrit á í huga.

Þannig að fyrsta ákvörðunin er setning, skrifuð niður áður en ímyndin yfirgefur byggingarhýsilinn: þetta afrit endurheimtir gátt A, eða þetta afrit verður gátt B. Allt sem kemur á eftir er bókhald gagnvart þeirri setningu. Ef enginn getur skrifað hana er afritið ekki tilbúið til byggingar.

Endurnýtanlegir inntakir, auðkenni og heimild, uppsetningarstaða

Endurnýtanlega fatan er sú auðvelda: pakkar, yfirfarin stilling án leyndarmála, þjónustusniðmát, harðstillingar. Þetta er það sem ímynd er virkilega góð í, og hægt er að endurgera það án takmarkana.

Fatan auðkennis og heimildar er þar sem afrit fara úrskeiðis. Einkalykill og vottorð gáttar auðkenna þá gátt gagnvart hverjum biðlara. Undirskriftarlykill vottorðsstofnunar er annar hlutur með aðra vald: hann gefur út auðkenni. Að treysta útgefanda þýðir ekki að hver ný gátt þurfi getu til útgáfu, og að senda undirskriftarlykilinn innan ímyndar veitir þá getu öllu sem getur lesið ímyndina.

Fatan uppsetningarstöðu er sú sem fólk gleymir því hún lítur út eins og stilling. Hlustunarheimilisföng, heimilisfangasafn, ýtt slóðir, stillingar leysir og staðbundin samþætting kóða öll forsendur um fyrsta hýsilinn. Önnur hnýði sem afritar þau getur úthlutað úr safni sem önnur gátt á þegar, eða beint biðlurum að auðlind sem er aðeins til við hlið upprunans.

Hvað ný hnýði verður að fá, og frá hverjum

Sjálfstætt stýrð hnýði ætti að fá eigin skilríki gegnum samþykkta skráningarferlið, með undirskriftaraðgerðina þar sem undirskriftarlykillinn er heldur en á nýja hýsilnum. Skráið hvaða auðkenni er hægt að draga til baka án þess að trufla aðrar hnýði; ef svarið er "öll", hefur hönnunin eitt auðkenni sem þykist vera tvö.

Netgildi eiga skilið sömu meðferð. Veljið safn, hlustunarheimilisfang og mengi ýttra slóða sem rekast ekki á við fyrirliggjandi gátt, og skrifið þau í veituinntökin frekar en í ímyndina. Inntakið er yfirfarið; ímyndin ekki.

Það er lögmætt millitilfelli. Studd endurheimtar- eða eftirlíkingarhönnun getur viljandi haldið einu rökréttu þjónustuauðkenni á milli hýsla, með stýrðum aðgangi að gamla afritinu og snúningsáætlun. Það er ákvörðun með eiganda, ekki sjálfgefið gildi sem verður vegna þess að ímyndin var þægileg.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Fyrsta skipunin segir hvaða auðkenni hnýðið sýnir í raun og hver skrifaði undir það. Sú seinni er upphafleg skrá, ekki sönnun: einkamál getur lifað utan þeirrar möppu, inni í gagnagrunni forrits, eða í skyndimyndarlagi sem keyrandi skráarkerfið sýnir ekki lengur.

Hvað afrit af ímyndinni ber með sér hljóðlaust

Að eyða skrá úr nýjustu útgáfu ímyndar fjarlægir hana ekki úr eldri útgáfum, lagskyndiminni eða skyndimyndum sem teknar voru á meðan hún var til. Þess vegna verður að meðhöndla ímyndir sem bera skilríki sem viðkvæma hluti alla ævi þeirra, ekki aðeins þegar þær eru byggðar.

Athugið innihald ímyndarinnar og veituinntökin sem tvær aðskildar spurningar. Ímyndin svarar "hvað er inni í þessari gerð", en inntökin svara "hvað verður þetta tilvik við fyrstu ræsingu". Hrein ímynd með ræsiskriftu sem sækir sameiginlegan lykil svarar fyrstu spurningunni vel og þeirri seinni illa.

Haldið endurheimtarímyndum sem innihalda leyndarmál á lögmætan hátt takmörkuðum við þá sem þurfa á þeim að halda, og skráið hvar þær eru geymdar. Valkosturinn, ímynd sem er þægileg af því hún virkar án nokkurs undirbúnings, er sama ímyndin og veitir hverjum þeim sem finnur hana auðkenni gáttarinnar. Aðeins annað þessara tveggja verkefna birtist í byggingarannál.

Aðgangsprófanir fyrir framleiðslu

Áður en hnýðið tekur við umferð, staðfestið fjóra hluti: auðkennið sem það sýnir, biðlarana sem það tekur við, auðlindirnar sem það má ná til og afturleiðina fyrir heimilisföngin sem það úthlutar.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Athugið svo neikvæða tilfellið, sem grípur slys: hefur nýja hnýðið stjórnanda- eða biðlarainngang sem var ætlaður upprunanum? Afritað stilling getur borið aukna biðlarafærslu, arfleidda stjórnunarslóð eða push-tilskipun sem hafði merkingu á fyrsta hýsilnum.

Ef ímynd sem inniheldur lifandi leyndarmál hefur þegar farið út fyrir samþykkt mörk sín, skiptu um skilríki og takmarkaðu afritin. Að fjarlægja skrána úr nýjustu byggingu er ekki það sama og að taka skilríkið sem eldri afrit hafa enn úr notkun, og bilið á milli þessara tveggja staðreynda er einmitt sá gluggi sem árásarmaður þarf.