D'Image vun engem VPN-Server klonen, ouni seng Identitéit ze klonen

D'Image start, den Déngscht fänkt un an d'Clienten verbannen. Dat ass de Moment fir ze stoppen a froen, wéi eng vun zwou ganz ënnerschiddlechen Operatiounen just geschitt ass. Entweder restauréiert d'Kopie eng logesch Passerelle déi et virdru gouf, oder se setzt eng zweet Passerelle bäi d'Flott. Béid si legitim, a se hunn ënnerschiddlech Konsequenzen fir Identitéit an Zougang. Eng Maschinn déi propper eropkënnt, beweist keng vun zwou.

Dräi Konditiounen entscheeden d'Äntwert, an dat sinn déi dräi Kierfchen Material déi eng Image droe kann. Sortéiert se ier d'Image gebaut gëtt, net nodeems se zweemol ausgerullt gouf.

Entscheet d'éischt wéi eng vun zwou Operatiounen Dir maacht

Eng Restauratioun behält eng Déngschtidentitéit. Déi al Instanz ass fort, den Numm an d'Zertifikat bleiwen, an d'Clienten vertrauen demselwechten Endpunkt. Eng Bäisetzung schaaft eng zweet Identitéit, déi Clienten, Logbicher an de Widderruff all mussen ënnerscheeden.

Den Ënnerscheed ass net kosmetesch. Wann zwou lieweg Hosten deeselwechten Zertifikat presentéieren, kann e Client se net ausernanerhalen, en Auditstrapp och net, an de Widderruff vun deem Zertifikat entfernt béid op eemol. Dat ass vläicht genee dat wat en absichtlechen Héichverfügbarkeetsdesign wëllt, an et ass seele wat eng séier Imagekopie wëllt.

Also ass déi éischt Entscheedung enger Saz, opgeschriwwen ier d'Image den Buildhost verléisst: dës Kopie restauréiert d'Passerelle A, oder dës Kopie gëtt d'Passerelle B. Alles duerno ass Comptabilitéit vis-à-vis vun deem Saz. Wann keen en schreiwe kann, ass d'Kopie net prett fir gebaut ze ginn.

Widderverwendbar Inputen, Identitéit an Autoritéit, Deploiementszoustand

Den widderverwendbare Kierfchen ass deen einfachen: Paketen, iwwerpréift Konfiguratioun ouni Geheimnisser, Déngschtschablounen, Härtungsastellungen. Do ass eng Image wierklech gutt dran, an se kann ouni Limit reproduzéiert ginn.

De Kierfchen Identitéit an Autoritéit ass do wou d'Kopien falsch goen. De private Schlëssel an den Zertifikat vun enger Passerelle identifizéieren déi Passerelle bei all Client. Den Ënnerschrëftsschlëssel vun der Zertifizéierungsautoritéit ass en aneren Objet mat enger anerer Muecht: en erausgëtt Identitéiten. Engem Erausgeber ze vertrauen heescht net datt all nei Passerelle d'Fäegkeet brauch ze erausginn, an den Ënnerschrëftsschlëssel bannent enger Image ze verschécken gëtt déi Fäegkeet allem wat d'Image liese kann.

De Kierfchen Deploiementszoustand ass deen de Leit vergiessen well en wéi Konfiguratioun ausgesäit. Lauschteradressen, Adresspools, gedréckt Routen, Resolverastellungen a lokal Integratioun kodéieren all Usiichten iwwer den éischten Host. En zweete Kniet deen se kopéiert kann aus engem Pool verdeelen deen eng aner Passerelle schonn huet, oder Clienten op eng Ressource leeden déi nëmmen nieft dem Original existéiert.

Wat en neie Kniet muss kréien, a vu wiem

En onofhängeg verwaltente Kniet soll seng eege Umeldungsdonnéeën iwwer den approuvéierte Registréierungsprozess kréien, an d'Ënnerschrëft soll do geschéien wou den Ënnerschrëftsschlëssel läit an net um neien Host. Notéiert wéi eng Identitéit zréckgezunn ka ginn ouni déi aner Kniet ze stéieren; wann d'Äntwert "all" ass, huet den Design eng Identitéit déi sech als zwou ausgëtt.

Netzwierkwäerter verdéngen déiselwecht Behandlung. Wielt en Pool, eng Lauschteradress an eng Rei gedréckte Routen déi net mat der bestehender Passerelle kollidéieren, a schreift se an d'Versuergungsinputen amplaz an d'Image. Den Input ka iwwerpréift ginn; d'Image net.

Et gëtt e legitime mëttlere Fall. En ënnerstëtzten Erhuelungs- oder Replikatiounsdesign kann bewosst eng logesch Déngschtidentitéit iwwer Hosten halen, mat kontrolléierten Zougang zu der aler Kopie an engem Rotatiounsplang. Dat ass eng Entscheedung mat engem Eigner, net en Default deen entsteet well d'Image bequem war.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Déi éischt Kommando seet wéi eng Identitéit den Kniet tatsächlech presentéiert a wien en ënnerschriwwen huet. Déi zweet ass eng Startinventur, kee Beweis: privaten Material kann ausserhalb vun deem Verzeechnes liewen, an enger Applikatiounsdatebank oder an enger Snapshot-Schicht déi de lafende Fichiersystem net méi weist.

Wat eng Kopie vun der Image stëll mat sech dréit

Eng Fichier aus der neister Revisioun vun enger Image läschen entfernt se net aus eelere Revisiounen, Layer-Caches oder Snapshots déi gemaach goufen wärend se existéiert huet. Dofir mussen Imagen déi Umeldungsdonnéeën droen als sensibel Objete fir hir ganz Liewensdauer behandelt ginn, net nëmmen am Moment wou se gebaut ginn.

Préift den Image-Inhalt an d'Versuergungsinputen als getrennte Froen. D'Image äntwert "wat ass bannent dësem Artefakt", wärend d'Inputen äntweren "wat gëtt dës Instanz beim éischten Start". Eng propper Image mat engem Bootstrap-Skript deen en gedeelte Schlëssel hilt, äntwert gutt op déi éischt Fro a schlecht op déi zweet.

Hält Erhuelungsimagen déi legitimerweis Geheimnisser enthalen limitéiert op déi Leit déi se brauchen, a notéiert wou se gespäichert ginn. D'Alternativ, eng Image déi bequem ass well se ouni all Versuergung funktionéiert, ass déiselwecht Image déi jidderengem dee se fënnt d'Identitéit vun der Passerelle gëtt. Nëmmen eng vun deenen zwou Aufgabwen erschéngt an engem Build-Log.

Admissiounskontrollen virun der Produktioun

Ier den Kniet Verkéier unhëlt, bestätegt véier Saachen: d'Identitéit déi en presentéiert, d'Clienten déi en unhëlt, d'Ressourcen zu deenen en Zougang huet, an de Retourwee fir d'Adressen déi en ausdeelt.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Dann préift de negative Fall, deen Accidenter fänkt: huet den neie Kniet Administrateur- oder Clientzougang dee fir den Original geduecht war? Eng kopéiert Konfiguratioun kann en zousätzlechen Clientandrag droen, eng geierft Verwaltungsroute oder eng Push-Direktiv déi um éischten Host Sënn gemaach huet.

Wann eng Image mat liewegen Geheimnisser schonn iwwer hir approuvéiert Grenz eraus ass, ersetzt d'Umeldungsdonnéeën a begrenzt d'Kopien. D'Fichier aus dem leschte Build ze huelen ass net datselwecht wéi d'Umeldungsdonnéeën ausser Betrib ze huelen déi eeler Kopien nach halen, an d'Lück tëschent deenen zwou Tatsaache ass genee de Fënster deen en Ugräifer brauch.