Klonēt VPN servera attēlu, neklonējot tā identitāti

Attēls startē, pakalpojums sākas un klienti pieslēdzas. Tas ir brīdis apstāties un pajautāt, kura no divām ļoti atšķirīgām darbībām tikko notika. Vai nu kopija atjauno vienu loģisku vārteju, kas pastāvēja iepriekš, vai tā pievieno otru vārteju flotei. Abas ir likumīgas, un tām ir atšķirīgas sekas identitātei un piekļuvei. Mašīna, kas ceļas tīri, nepierāda nevienu no tām.

Atbildi nosaka trīs nosacījumi, un tie ir trīs materiāla grozi, ko attēls var nest. Sakārtojiet tos pirms attēla būvēšanas, nevis pēc tam, kad tas divreiz izvietots.

Vispirms izlemiet, kuru no divām darbībām veicat

Atjaunošana saglabā vienu pakalpojuma identitāti. Vecā instance ir pazudusi, nosaukums un sertifikāts paliek, un klienti turpina uzticēties tam pašam galapunktam. Pievienošana rada otru identitāti, kas klientiem, žurnāliem un atsaukšanai visiem jāatšķir.

Atšķirība nav kosmētiska. Ja divi aktīvi resursdatori uzrāda vienu un to pašu vārtejas sertifikātu, klients tos nevar atšķirt, arī audita pēdas nevar, un šī sertifikāta atsaukšana noņem abus uzreiz. Tas var būt tieši tas, ko vēlas apzināta augstas pieejamības konstrukcija, un reti tas, ko paredz steigā veidota attēla kopija.

Tātad pirmais lēmums ir teikums, pierakstīts pirms attēls atstāj būvēšanas resursdatoru: šī kopija atjauno vārteju A, vai šī kopija kļūst par vārteju B. Viss pēc tam ir uzskaite pret šo teikumu. Ja neviens to nevar uzrakstīt, kopija nav gatava būvēšanai.

Atkārtoti lietojami ievadi, identitāte un pilnvara, izvietošanas stāvoklis

Atkārtoti lietojamais grozs ir vieglais: pakotnes, pārskatīta konfigurācija bez noslēpumiem, pakalpojumu veidnes, sacietēšanas iestatījumi. Tajā attēls patiešām ir labs, un to var reproducēt bez ierobežojumiem.

Identitātes un pilnvaras grozs ir vieta, kur kopijas kļūdās. Vārtejas privātā atslēga un sertifikāts identificē šo vārteju katram klientam. Sertifikācijas iestādes parakstīšanas atslēga ir cits objekts ar citu varu: tā izdod identitātes. Uzticēšanās izdevējam nenozīmē, ka katrai jaunai vārtejai vajadzīga izdošanas spēja, un parakstīšanas atslēgas sūtīšana attēla iekšienē piešķir šo spēju visam, kas spēj nolasīt attēlu.

Izvietošanas stāvokļa grozs ir tas, ko cilvēki aizmirst, jo tas izskatās kā konfigurācija. Klausīšanās adreses, adrešu pūli, virzītie maršruti, risinātāja iestatījumi un vietējā integrācija visi kodē pieņēmumus par pirmo resursdatoru. Otrs mezgls, kas tos kopē, var piešķirt no pūla, kas jau pieder citai vārtejai, vai virzīt klientus uz resursu, kas pastāv tikai blakus oriģinālam.

Kas jaunajam mezglam jāsaņem un no kā

Neatkarīgi pārvaldītam mezglam savi akreditācijas dati jāsaņem apstiprinātajā reģistrācijas procesā, un parakstīšanas darbībai jānotiek tur, kur atrodas parakstīšanas atslēga, nevis jaunajā resursdatorā. Pierakstiet, kuru identitāti var atsaukt, netraucējot citus mezglus; ja atbilde ir "visas", konstrukcijā ir viena identitāte, kas izliekas par divām.

Tīkla vērtības pelna tādu pašu attieksmi. Izvēlieties pūlu, klausīšanās adresi un virzīto maršrutu kopumu, kas nesaduras ar esošo vārteju, un ierakstiet tos nodrošināšanas ievados, nevis attēlā. Ievads ir pārskatāms; attēls nav.

Ir likumīgs starpgadījums. Atbalstīta atkopšanas vai replikācijas konstrukcija var apzināti saglabāt vienu loģisku pakalpojuma identitāti vairākos resursdatoros, ar kontrolētu piekļuvi vecajai kopijai un rotācijas plānu. Tas ir lēmums ar īpašnieku, nevis noklusējums, kas rodas tāpēc, ka attēls bija ērts.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Pirmā komanda parāda, kuru identitāti mezgls faktiski uzrāda un kas to parakstījis. Otrā ir sākotnējais uzskaitījums, nevis pierādījums: privātais materiāls var atrasties ārpus šīs mapes, lietojumprogrammas datubāzē vai momentuzņēmuma slānī, ko darbojošā failu sistēma vairs nerāda.

Ko attēla kopija klusējot nes sev līdzi

Faila dzēšana no attēla jaunākās versijas to neizņem no vecākām versijām, slāņu kešatmiņām vai momentuzņēmumiem, kas uzņemti, kamēr tas pastāvēja. Tāpēc attēli, kuros ir akreditācijas dati, jāuzskata par jutīgiem objektiem visu to mūžu, ne tikai būvēšanas brīdī.

Pārbaudiet attēla saturu un nodrošināšanas ievadus kā atsevišķus jautājumus. Attēls atbild "kas ir šī artefakta iekšienē", bet ievadi atbild "par ko šī instance kļūs pirmajā startā". Tīrs attēls ar starta skriptu, kas iegūst koplietotu atslēgu, labi atbild uz pirmo jautājumu un slikti uz otro.

Turiet atkopšanas attēlus, kuros likumīgi ir noslēpumi, ierobežotus tiem cilvēkiem, kuriem tie vajadzīgi, un pierakstiet, kur tie glabājas. Alternatīva, attēls, kas ir ērts, jo darbojas bez jebkādas nodrošināšanas, ir tas pats attēls, kas ikvienam, kas to atrod, piešķir vārtejas identitāti. Tikai viens no šiem diviem uzdevumiem parādās būvēšanas žurnālā.

Uzņemšanas pārbaudes pirms ražošanas

Pirms mezgls uzņem trafiku, apstipriniet četras lietas: uzrādīto identitāti, pieņemtos klientus, atļautos resursus un atgriešanās ceļu izdalītajām adresēm.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Pēc tam pārbaudiet negatīvo gadījumu, kas noķer negadījumus: vai jaunajam mezglam ir administratora vai klienta piekļuve, kas bija paredzēta oriģinālam? Kopēta konfigurācija var nest papildu klienta ierakstu, mantotu pārvaldības maršrutu vai push direktīvu, kam bija jēga pirmajā resursdatorā.

Ja attēls ar dzīviem noslēpumiem jau ir izgājis ārpus apstiprinātās robežas, nomainiet akreditācijas datus un ierobežojiet kopijas. Faila noņemšana no jaunākās būves nav tas pats, kas vecāku kopiju vēl turēto akreditaīcijas datu izņemšana no ekspluatācijas, un atstarpe starp šiem diviem faktiem ir tieši tas logs, kas uzbrucējam vajadzīgs.