VPN серверинин образын анын инсандыгын клондоодон тышкары клондоо

Образ жүктөлөт, кызмат башталат жана кардарлар туташат. Ушул учурда токтоп, эки такыр башка операциянын кайсынысы жаңы эле болгонун суроо керек. Же көчүрмө мурун болгон бир логикалык дарбазаны калыбына келтирет, же флотко экинчи дарбазаны кошот. Экөө тең мыйзамдуу жана алардын инсандык менен жеткиликтүүлүккө тийгизген таасири ар башка. Таза көтөрүлгөн машина экөөнү тең далилдебейт.

Жоопту үч шарт чечет жана алар образ ташып кете алган материалдын үч себети. Аларды образ курулганга чейин иреттеп чыгыңыз, эки жолу жайгаштырылгандан кийин эмес.

Алгач эки операциянын кайсынысын аткарып жатканыңызды чечиңиз

Калыбына келтирүү бир кызмат инсандыгын сактайт. Эски инстанс кетти, аталышы менен сертификат калат, кардарлар ошол эле акыркы чекитке ишенүүнү улантат. Кошуу экинчи инсандыкты жаратат, аны кардарлар, журналдар жана жокко чыгаруу баары айырмалашы керек.

Айырма косметикалык эмес. Эгер эки тирүү хост бирдей дарбаза сертификатын сунуштаса, кардар аларды айырмалай албайт, аудит изи да албайт, жана ошол сертификатты жокко чыгаруу экөөнү тең бир убакта жок кылат. Бул атайын жасалган жогорку жеткиликтүүлүк долбоору каалаган нерсе болушу мүмкүн жана шашылган образ көчүрмөсүнүн ниети сейрек ошол болот.

Ошондуктан биринчи чечим — образ куруу хостунан чыкканга чейин жазылган бир сүйлөм: бул көчүрмө A дарбазасын калыбына келтирет, же бул көчүрмө B дарбазасына айланат. Андан кийинкинин баары ошол сүйлөмгө карата эсеп. Эгер эч ким аны жаза албаса, көчүрмө курууга даяр эмес.

Кайра колдонулуучу кирүүлөр, инсандык жана ыйгарым укук, жайгаштыруу абалы

Кайра колдонулуучу себет жеңил: пакеттер, купуясыз текшерилген конфигурация, кызмат шаблондору, катууландыруу жөндөөлөрү. Образ чынында ушуга жакшы жана аны чексиз кайра өндүрүүгө болот.

Инсандык жана ыйгарым укук себети — көчүрмөлөр жаңылышкан жер. Дарбазанын жеке ачкычы жана сертификаты ошол дарбазаны ар бир кардарга таанытат. Сертификат органынын кол коюу ачкычы башка күчкө ээ башка объект: ал инсандыктарды берет. Берүүчүгө ишенүү ар бир жаңы дарбазага берүү жөндөмү керек дегенди билдирбейт, жана кол коюу ачкычын образдын ичинде жөнөтүү бул жөндөмдү образды окуй алган нерселердин баарына берет.

Жайгаштыруу абалынын себети — адамдар унутуучу себет, анткени ал конфигурацияга окшош. Угуу дареги, дарегинин пулдары, түртүлгөн маршруттар, чечүүчү жөндөөлөрү жана жергиликтүү интеграция баары биринчи хост жөнүндө божомолдорду коддойт. Аларды көчүргөн экинчи түйүн башка дарбаза ээ болгон пулдан бөлүшү мүмкүн, же кардарларды түпнусканын жанында гана бар ресурска багытташы мүмкүн.

Жаңы түйүнгө эмне берилиши керек жана кимден

Көз карандысыз башкарылуучу түйүн өзүнүн каттоо далилдерин бекитилген каттоо процесси аркылуу алышы керек, жана кол коюу операциясы жаңы хостто эмес, кол коюу ачкычы турган жерде болушу керек. Башка түйүндөрдү бушайман кылбай кайсы инсандыкты кайтарып алууга болорун жазыңыз; эгер жооп «баары» болсо, долбоордо өзүн эки деп көрсөткөн бир инсандык бар.

Тармактык баалуулуктар да ушундай мамилени татыктуу. Учурдагы дарбаза менен кагылышпаган пул, угуу дареги жана түртүлгөн маршруттардын жыйындысын тандап, аларды образга эмес, жабдуу кирүүлөрүнө жазыңыз. Кирүү текшериле алат; образ жок.

Мыйзамдуу аралык учур бар. Колдоого алынган калыбына келтирүү же репликация долбоору бир логикалык кызмат инсандыгын хосттордун ортосунда атайын сактай алат, эски көчүрмөгө көзөмөлдөнгөн жеткиликтүүлүк жана айландыруу планы менен. Бул ээси бар чечим, образ ыңгайлуу болгондуктан болуучу демейки эмес.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Биринчи буйрук түйүн чынында кайсы инсандыкты сунуштай турганын жана ким кол койгонун айтат. Экинчиси баштапкы тизме, далил эмес: жеке материал ошол папкадан тышкары, колдонмонун маалымат базасында же иштеп жаткан файлдык система көрсөтпөгөн сүрөт катмарында болушу мүмкүн.

Образдын көчүрмөсү үнсүз эмнени алып жүрөт

Файлды образдын эң жаңы редакциясынан өчүрүү аны эски редакциялардан, катмар кэштеринен же ал бар кезде тартылган сүрөттөрдөн алып салбайт. Ошондуктан каттоо далилдерин ташыган образдарды бүт өмүрү бою сезимтал объект катары кароо керек, куруу учурунда гана эмес.

Образдын мазмунун жана жабдуу кирүүлөрүн өзүнчө суроолор катары текшериңиз. Образ «бул артефакттын ичинде эмне бар» дегенге жооп берет, ал эми кирүүлөр «бул инстанс биринчи жүктөөдө эмне болот» дегенге жооп берет. Жалпы ачкычты алып келүүчү жүктөө скрипти бар таза образ биринчи суроого жакшы, экинчисине начар жооп берет.

Мыйзамдуу түрдө купуяларды камтыган калыбына келтирүү образдарын аларга муктаж адамдар менен чектеңиз жана кайда сакталарын жазыңыз. Альтернатива, башкача айтканда эч кандай жабдуусуз иштегендиктен ыңгайлуу образ, аны тапкан ар кимге дарбазанын инсандыгын берген ошол эле образ. Ошол эки тапшырманын бирөө гана куруу журналында көрүнөт.

Өндүрүшкө чейинки кабыл алуу текшерүүлөрү

Түйүн трафикти алаардан мурун төрт нерсени ырастаңыз: ал сунуштаган инсандык, кабыл ала турган кардарлар, жетүүгө уруксат берилген ресурстар жана тарата турган даректер үчүн кайтуу жолу.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Анан кырсыктарды кармаган терс учурду текшериңиз: жаңы түйүндө түпнускага арналган администратор же кардар жеткиликтүүлүгү барбы? Көчүрүлгөн конфигурация кошумча кардар жазуусун, мураска калган башкаруу маршрутун же биринчи хостто маанилүү болгон push буйругун алып жүрүшү мүмкүн.

Эгер тирүү купуяларды камтыган образ өзүнүн бекитилген чегинен буга чейин чыгып кетсе, каттоо далилдерин алмаштырыңыз жана көчүрмөлөрдү чектеңиз. Файлды акыркы курулуштан алып салуу эски көчүрмөлөр дагы эле кармап турган каттоо далилдерин пайдалануудан чыгаруу менен бирдей эмес, жана бул эки фактынын ортосундагы ажырым — кол салуучуга керектүү так ошол терезе.