VPN სერვერის იმიჯის კლონირება მისი იდენტობის კლონირების გარეშე

იმიჯი იტვირთება, სერვისი იწყება და კლიენტები უკავშირდებიან. სწორედ ამ მომენტში უნდა გაჩერდეთ და იკითხოთ, ორი ძალიან განსხვავებული ოპერაციიდან რომელი მოხდა ახლახან. ან ასლი აღადგენს ადრე არსებულ ერთ ლოგიკურ კარიბჭეს, ან ამატებს მეორე კარიბჭეს ფლოტს. ორივე ლეგიტიმურია და განსხვავებული შედეგები აქვს იდენტობასა და წვდომაზე. სუფთად ამომავალი მანქანა არც ერთს არ ამტკიცებს.

სამი პირობა წყვეტს პასუხს და ეს არის მასალის სამი კალათა, რომლის ტარებაც იმიჯს შეუძლია. დაალაგეთ ისინი იმიჯის აწყობამდე და არა მას შემდეგ, რაც ის ორჯერ განლაგდა.

ჯერ გადაწყვიტეთ, რომელ ოპერაციას ასრულებთ

აღდგენა ინარჩუნებს ერთი სერვისის იდენტობას. ძველი ინსტანსი გაქრა, სახელი და სერტიფიკატი რჩება, და კლიენტები კვლავ ენდობიან იმავე საბოლოო წერტილს. დამატება ქმნის მეორე იდენტობას, რომელიც კლიენტებმა, ჟურნალებმა და გაუქმებამ ყველამ უნდა გაარჩიოს.

განსხვავება კოსმეტიკური არ არის. თუ ორი ცოცხალი ჰოსტი ერთსა და იმავე კარიბჭის სერტიფიკატს წარადგენს, კლიენტი მათ ვერ გაარჩევს, აუდიტის კვალიც ვერ, და ამ სერტიფიკატის გაუქმება ორივეს ერთდროულად აშორებს. შესაძლოა ეს ზუსტად ის არის, რაც განზრახ მაღალი ხელმისაწვდომობის დიზაინს სურს, და იშვიათად არის ის, რაც ნაჩქარევ იმიჯის ასლს სურს.

ასე რომ, პირველი გადაწყვეტილება ერთი წინადადებაა, დაწერილი მანამ, სანამ იმიჯი დატოვებს აწყობის ჰოსტს: ეს ასლი აღადგენს კარიბჭე A-ს, ან ეს ასლი ხდება კარიბჭე B. ყველაფერი ამის შემდეგ ამ წინადადების მიმართ აღრიცხვაა. თუ ვერავინ შეძლებს მის დაწერას, ასლი მზად არ არის ასაწყობად.

ხელახლა გამოსაყენებელი შეყვანები, იდენტობა და უფლებამოსილება, განლაგების მდგომარეობა

ხელახლა გამოსაყენებელი კალათა მარტივია: პაკეტები, საიდუმლოებების გარეშე გადამოწმებული კონფიგურაცია, სერვისის შაბლონები, გამაგრების პარამეტრები. სწორედ ამაშია იმიჯი ნამდვილად კარგი და მისი გამრავლება უსაზღვროდ შეიძლება.

იდენტობისა და უფლებამოსილების კალათა არის ადგილი, სადაც ასლები ცდებიან. კარიბჭის პირადი გასაღები და სერტიფიკატი იდენტიფიცირებს ამ კარიბჭეს ყოველი კლიენტის წინაშე. სერტიფიკატის ორგანოს ხელმოწერის გასაღები სხვა ობიექტია სხვა ძალით: ის გასცემს იდენტობებს. გამცემის ნდობა არ ნიშნავს, რომ ყოველ ახალ კარიბჭეს გაცემის უნარი სჭირდება, და ხელმოწერის გასაღების იმიჯის შიგნით გაგზავნა ამ უნარს აძლევს ყველაფერს, რაც იმიჯის წაკითხვას შეძლებს.

განლაგების მდგომარეობის კალათა არის ის, რომელსაც ხალხი ივიწყებს, რადგან კონფიგურაციას ჰგავს. მოსმენის მისამართები, მისამართების აუზები, გაგზავნილი მარშრუტები, გამხსნელის პარამეტრები და ლოკალური ინტეგრაცია ყველა აკოდირებს ვარაუდებს პირველი ჰოსტის შესახებ. მეორე კვანძი, რომელიც მათ აკოპირებს, შესაძლოა გამოყოს აუზიდან, რომელიც უკვე სხვა კარიბჭეს ეკუთვნის, ან კლიენტები გაუშვას რესურსზე, რომელიც მხოლოდ ორიგინალის გვერდით არსებობს.

რა უნდა მიიღოს ახალმა კვანძმა და ვისგან

დამოუკიდებლად მართული კვანძი საკუთარი რწმუნებულები უნდა მიიღოს დამტკიცებული რეგისტრაციის პროცესით, და ხელმოწერის ოპერაცია უნდა მოხდეს იქ, სადაც ხელმოწერის გასაღები ცხოვრობს და არა ახალ ჰოსტზე. ჩაწერეთ, რომელი იდენტობის გამოთხოვნა შეიძლება სხვა კვანძების შეწუხების გარეშე; თუ პასუხი „ყველაა“, დიზაინში ერთი იდენტობაა, რომელიც ორად თამაშობს.

ქსელური მნიშვნელობები იმავე მოპყრობას იმსახურებს. აირჩიეთ აუზი, მოსმენის მისამართი და გაგზავნილი მარშრუტების ნაკრები, რომლებიც არ ეჯახება არსებულ კარიბჭეს, და ჩაწერეთ ისინი მომარაგების შეყვანებში და არა იმიჯში. შეყვანა გადამოწმებადია; იმიჯი არა.

არსებობს ლეგიტიმური შუალედური შემთხვევა. მხარდაჭერილი აღდგენის ან რეპლიკაციის დიზაინი შესაძლოა განზრახ ინარჩუნებდეს ერთ ლოგიკურ სერვისის იდენტობას ჰოსტებს შორის, ძველ ასლზე კონტროლირებადი წვდომითა და როტაციის გეგმით. ეს მფლობელის მქონე გადაწყვეტილებაა და არა ნაგულისხმევი, რომელიც ხდება იმიტომ, რომ იმიჯი მოსახერხებელი იყო.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

პირველი ბრძანება გეუბნებათ, რომელ იდენტობას წარადგენს კვანძი სინამდვილეში და ვინ მოაწერა ხელი. მეორე საწყისი ინვენტარია და არა მტკიცება: პირადი მასალა შეიძლება ცხოვრობდეს ამ საქაღალდის გარეთ, აპლიკაციის მონაცემთა ბაზაში ან სნეპშოტის ფენაში, რომელსაც მოქმედი ფაილური სისტემა აღარ აჩვენებს.

რას ატარებს ჩუმად იმიჯის ასლი

ფაილის წაშლა იმიჯის უახლესი რევიზიიდან არ აშორებს მას ძველი რევიზიებიდან, ფენების ქეშებიდან ან სნეპშოტებიდან, რომლებიც გადაღებულია მისი არსებობის დროს. ამიტომ რწმუნებულების მატარებელი იმიჯები მთელი სიცოცხლის განმავლობაში უნდა განიხილებოდეს როგორც მგრძნობიარე ობიექტები და არა მხოლოდ აწყობის მომენტში.

შეამოწმეთ იმიჯის შიგთავსი და მომარაგების შეყვანები ცალკე კითხვებად. იმიჯი პასუხობს „რა არის ამ არტეფაქტის შიგნით“, ხოლო შეყვანები პასუხობენ „რად იქცევა ეს ინსტანსი პირველ ჩატვირთვაზე“. სუფთა იმიჯი გაზიარებული გასაღების მომტანი ჩატვირთვის სკრიპტით კარგად პასუხობს პირველ კითხვას და ცუდად მეორეს.

შეინარჩუნეთ ლეგიტიმურად საიდუმლოებების შემცველი აღდგენის იმიჯები შეზღუდული მათთვის, ვისაც ისინი სჭირდება, და ჩაწერეთ, სად ინახება. ალტერნატივა, იმიჯი, რომელიც მოსახერხებელია, რადგან ყოველგვარი მომარაგების გარეშე მუშაობს, იგივე იმიჯია, რომელიც კარიბჭის იდენტობას აძლევს ყველას, ვინც მას იპოვის. ამ ორი ამოცანიდან მხოლოდ ერთი ჩანს აწყობის ჟურნალში.

მიღების შემოწმებები წარმოებამდე

სანამ კვანძი ტრაფიკს მიიღებს, დაადასტურეთ ოთხი რამ: წარდგენილი იდენტობა, მისაღები კლიენტები, რესურსები, რომლებზეც წვდომა ნებადართულია, და დაბრუნების გზა გაცემული მისამართებისთვის.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

შემდეგ შეამოწმეთ უარყოფითი შემთხვევა, რომელიც შემთხვევითობებს იჭერს: აქვს ახალ კვანძს ადმინისტრატორის ან კლიენტის წვდომა, რომელიც ორიგინალისთვის იყო განკუთვნილი? კოპირებულ კონფიგურაციას შესაძლოა ჰქონდეს ზედმეტი კლიენტის ჩანაწერი, მემკვიდრეობით მიღებული მართვის მარშრუტი ან push მითითება, რომელსაც პირველ ჰოსტზე აზრი ჰქონდა.

თუ ცოცხალი საიდუმლოებების შემცველი იმიჯი უკვე გასცდა დამტკიცებულ საზღვარს, შეცვალეთ რწმუნებულები და შეზღუდეთ ასლები. ფაილის ბოლო აწყობიდან მოშორება არ არის იგივე, რაც ძველ ასლებში ჯერ კიდევ არსებული რწმუნებულის ექსპლუატაციიდან გამოყვანა, და ამ ორ ფაქტს შორის სხვაობა ზუსტად ის ფანჯარაა, რომელიც თავდამსხმელს სჭირდება.