VPN серверінің бейнесін оның тұлғасын клондаусыз клондау

Бейне жүктеледі, қызмет іске қосылады және клиенттер қосылады. Дәл осы сәтте тоқтап, екі мүлде басқа операцияның қайсысы жаңа ғана болғанын сұрау керек. Не көшірме бұрын болған бір логикалық қақпаны қалпына келтіреді, не флотқа екінші қақпаны қосады. Екеуі де заңды және олардың тұлға мен рұқсатқа әсері әртүрлі. Таза көтерілетін машина екеуін де дәлелдемейді.

Жауапты үш шарт шешеді және бұл бейне тасымалдай алатын материалдың үш себеті. Оларды бейне құрылмас бұрын реттеңіз, екі рет орналастырылғаннан кейін емес.

Алдымен екі операцияның қайсысын орындап жатқаныңызды шешіңіз

Қалпына келтіру бір қызмет тұлғасын сақтайды. Ескі дана кетті, атау мен сертификат қалады, клиенттер сол соңғы нүктеге сенуді жалғастырады. Қосу екінші тұлғаны жасайды, оны клиенттер, журналдар және күшін жою бәрі ажыратуы керек.

Айырмашылық косметикалық емес. Егер екі тірі хост бірдей қақпа сертификатын ұсынса, клиент оларды ажырата алмайды, аудит ізі де алмайды, және сол сертификатты күшін жою екеуін де бірден жояды. Бұл әдейі жасалған жоғары қолжетімділік жобасы қалаған нәрсе болуы мүмкін және асығыс бейне көшірмесінің ниеті сирек сол болады.

Сондықтан бірінші шешім — бейне құрастыру хостынан шықпас бұрын жазылған бір сөйлем: бұл көшірме A қақпасын қалпына келтіреді, немесе бұл көшірме B қақпасына айналады. Одан кейінгінің бәрі сол сөйлемге қатысты есеп. Егер ешкім оны жаза алмаса, көшірме құруға дайын емес.

Қайта пайдаланылатын кірістер, тұлға мен өкілеттік, орналастыру күйі

Қайта пайдаланылатын себет оңайы: пакеттер, құпиясыз тексерілген конфигурация, қызмет үлгілері, қатайту параметрлері. Бейне шынымен осыған жақсы және оны шексіз қайта жаңғыртуға болады.

Тұлға мен өкілеттік себеті — көшірмелердің қателесетін жері. Қақпаның жеке кілті мен сертификаты сол қақпаны әр клиентке танытады. Сертификат органының қол қою кілті басқа күшке ие басқа нысан: ол тұлғаларды береді. Берушіге сену әрбір жаңа қақпаға беру қабілеті керек дегенді білдірмейді, ал қол қою кілтін бейненің ішінде жіберу бұл қабілетті бейнені оқи алатын кез келген нәрсеге береді.

Орналастыру күйінің себеті — адамдар ұмытатын себет, өйткені ол конфигурацияға ұқсайды. Тыңдау мекенжайлары, мекенжай пулдары, итерілген маршруттар, шешуші параметрлері және жергілікті интеграция барлығы бірінші хост туралы болжамдарды кодтайды. Оларды көшіретін екінші түйін басқа қақпа иеленетін пулдан бөлуі немесе клиенттерді түпнұсқаның қасында ғана бар ресурсқа бағыттауы мүмкін.

Жаңа түйінге не берілуі керек және кімнен

Дербес басқарылатын түйін өз тіркелгі деректерін бекітілген тіркеу процесі арқылы алуы керек, ал қол қою операциясы жаңа хостта емес, қол қою кілті тұратын жерде орындалуы керек. Басқа түйіндерді мазаламай қай тұлғаны кері қайтаруға болатынын жазыңыз; жауап «барлығы» болса, жобада өзін екеу ретінде көрсететін бір тұлға бар.

Желілік мәндер де сол қарым-қатынасқа лайық. Қолданыстағы қақпамен қақтығыспайтын пул, тыңдау мекенжайы және итерілген маршруттар жиынын таңдап, оларды бейнеге емес, жабдықтау кірістеріне жазыңыз. Кіріс тексеріле алады; бейне жоқ.

Заңды аралық жағдай бар. Қолдау көрсетілетін қалпына келтіру немесе репликация жобасы бір логикалық қызмет тұлғасын хосттар арасында әдейі сақтай алады, ескі көшірмеге бақыланатын рұқсат және айналдыру жоспарымен. Бұл иесі бар шешім, бейне қолайлы болғандықтан болатын әдепкі емес.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Бірінші команда түйіннің шын мәнінде қай тұлғаны ұсынатынын және оған кім қол қойғанын айтады. Екіншісі — бастапқы түгендеу, дәлел емес: жеке материал сол қалтадан тыс, қолданбаның дерекқорында немесе жұмыс істеп тұрған файлдық жүйе енді көрсетпейтін сурет қабатында болуы мүмкін.

Бейне көшірмесі үнсіз не алып жүреді

Файлды бейненің ең жаңа редакциясынан жою оны ескі редакциялардан, қабат кэштерінен немесе ол бар кезде алынған суреттерден алып тастамайды. Сондықтан тіркелгі деректерін тасымалдайтын бейнелерді бүкіл өмірі бойы сезімтал нысан ретінде қарау керек, тек құру сәтінде ғана емес.

Бейненің мазмұны мен жабдықтау кірістерін бөлек сұрақ ретінде тексеріңіз. Бейне «осы артефактінің ішінде не бар» дегенге жауап береді, ал кірістер «бұл дана бірінші жүктеуде неге айналады» дегенге жауап береді. Ортақ кілтті әкелетін жүктеу сценарийі бар таза бейне бірінші сұраққа жақсы, екіншісіне нашар жауап береді.

Заңды түрде құпияларды қамтитын қалпына келтіру бейнелерін оларды қажет ететін адамдармен шектеңіз және қайда сақталатынын жазыңыз. Балама, яғни ешқандай жабдықтаусыз жұмыс істейтіндіктен қолайлы бейне, оны тапқан кез келген адамға қақпаның тұлғасын беретін сол бейне. Осы екі тапсырманың тек біреуі ғана құру журналында көрінеді.

Өндіріске дейінгі қабылдау тексерістері

Түйін трафикті қабылдамас бұрын төрт нәрсені растаңыз: ол ұсынатын тұлға, қабылдайтын клиенттер, рұқсат етілген ресурстар және тарататын мекенжайлар үшін қайтару жолы.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Содан кейін апаттарды ұстайтын теріс жағдайды тексеріңіз: жаңа түйінде түпнұсқаға арналған әкімшілік немесе клиенттік рұқсат бар ма? Көшірілген конфигурация қосымша клиент жазбасын, мұрагерлік басқару маршрутын немесе бірінші хостта мағыналы болған push нұсқауын алып жүруі мүмкін.

Егер тірі құпиялары бар бейне өзінің бекітілген шегінен әлдеқашан шығып кетсе, тіркелгі деректерін ауыстырыңыз және көшірмелерді шектеңіз. Файлды соңғы құрастырудан алып тастау ескі көшірмелер әлі ұстап тұрған тіркелгі деректерін пайдаланудан шығарумен бірдей емес, және осы екі фактінің арасындағы алшақтық — шабуылдаушыға қажет дәл сол терезе.