Клонирање на сликата на VPN сервер без клонирање на неговиот идентитет

Сликата се подига, услугата започнува и клиентите се поврзуваат. Тоа е моментот да запрете и да прашате која од двете многу различни операции штотуку се случи. Или копијата враќа една логичка порта што постоела претходно, или додава втора порта во флотата. Двете се легитимни и имаат различни последици за идентитетот и пристапот. Машина што се подига чисто не докажува ниту една од двете.

Три услови го одлучуваат одговорот, а тоа се трите кошници материјал што сликата може да ги носи. Подредете ги пред сликата да се изгради, а не откако ќе биде распоредена двапати.

Прво одлучете која од двете операции ја изведувате

Враќањето задржува еден идентитет на услуга. Старата инстанца исчезна, името и сертификатот остануваат, а клиентите продолжуваат да му веруваат на истиот краен пункт. Додавањето создава втор идентитет што клиентите, дневниците и отповикувањето мора да го разликуваат.

Разликата не е козметичка. Ако два живи домаќини прикажуваат ист сертификат за порта, клиентот не може да ги разликува, а ниту трагата за ревизија не може, и отповикувањето на тој сертификат ги отстранува двете одеднаш. Тоа можеби е токму она што го сака намерен дизајн за висока достапност, а ретко е она што го има на ум избрзана копија на слика.

Затоа првата одлука е една реченица, запишана пред сликата да го напушти домаќинот за изградба: оваа копија ја враќа портата A, или оваа копија станува порта B. Сè потоа е сметководство спрема таа реченица. Ако никој не може да ја напише, копијата не е подготвена за изградба.

Влезови за повторна употреба, идентитет и овластување, состојба на распоредување

Кошницата за повторна употреба е лесната: пакети, прегледана конфигурација без тајни, шаблони за услуги, поставки за зајакнување. Во тоа сликата е навистина добра и може да се репродуцира без ограничување.

Кошницата за идентитет и овластување е местото каде копиите грешат. Приватниот клуч и сертификатот на портата ја идентификуваат таа порта пред секој клиент. Клучот за потпис на сертификациското тело е друг објект со друга моќ: тој издава идентитети. Да му се верува на издавач не значи дека секоја нова порта има потреба од способност за издавање, а испраќањето на клучот за потпис внатре во слика ѝ ја дава таа способност на сè што може да ја прочита сликата.

Кошницата за состојба на распоредување е онаа што луѓето ја забораваат бидејќи изгледа како конфигурација. Адресите за слушање, базените со адреси, турканите рути, поставките на резолверот и локалната интеграција сите кодираат претпоставки за првиот домаќин. Втор јазол што ги копира може да доделува од базен што веќе го поседува друга порта, или да насочи клиенти кон ресурс што постои само покрај оригиналот.

Што треба да добие новиот јазол и од кого

Независно управуван јазол треба да ги добие своите акредитиви преку одобрениот процес на регистрација, а операцијата за потпис да се одвива таму каде што живее клучот за потпис, а не на новиот домаќин. Запишете кој идентитет може да се повлече без да се вознемират другите јазли; ако одговорот е „сите“, дизајнот има еден идентитет што се претставува како два.

Мрежните вредности заслужуваат ист третман. Изберете базен, адреса за слушање и множество туркани рути што не се судираат со постоечката порта, и запишете ги во влезовите за обезбедување, а не во сликата. Влезот може да се прегледа; сликата не.

Има легитимен среден случај. Поддржан дизајн за враќање или репликација може намерно да задржи еден логички идентитет на услуга низ домаќини, со контролиран пристап до старата копија и план за ротација. Тоа е одлука со сопственик, а не стандардна поставка што се случува затоа што сликата била погодна.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Првата наредба кажува кој идентитет јазолот навистина го претставува и кој го потпишал. Втората е почетен попис, а не доказ: приватниот материјал може да живее надвор од таа папка, внатре во база на податоци на апликација или во слој на снимка што работачкиот податочен систем не го покажува повеќе.

Што носи тивко копијата на сликата

Бришењето датотека од најновата ревизија на сликата не ја отстранува од постари ревизии, кешови на слоеви или снимки направени додека постоела. Затоа сликите што носат акредитиви мора да се третираат како чувствителни објекти во целиот нивен живот, а не само во моментот на изградба.

Проверете ја содржината на сликата и влезовите за обезбедување како одделни прашања. Сликата одговара на „што има внатре во овој артефакт“, а влезовите одговараат на „што ќе стане оваа инстанца при првото подигање“. Чиста слика со скрипта за подигање што носи заеднички клуч одговара добро на првото прашање и лошо на второто.

Држете ги сликите за враќање што легитимно содржат тајни ограничени на луѓето на кои им се потребни, и запишете каде се чуваат. Алтернативата, слика што е погодна затоа што работи без никакво обезбедување, е истата слика што на секој што ќе ја најде му го дава идентитетот на портата. Само една од тие две задачи се појавува во дневникот за изградба.

Проверки за прием пред производство

Пред јазолот да прими сообраќај, потврдете четири работи: идентитетот што го претставува, клиентите што ќе ги прими, ресурсите до кои смее да стигне и повратниот пат за адресите што ги дели.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Потоа проверете го негативниот случај, кој ги фаќа несреќите: има ли новиот јазол административен или клиентски пристап што бил наменет за оригиналот? Копираната конфигурација може да носи дополнителен запис за клиент, наследена рута за управување или push директива што имала смисла на првиот домаќин.

Ако слика што содржи живи тајни веќе излегла надвор од својата одобрена граница, заменете ги акредитивите и ограничете ги копиите. Отстранувањето на датотеката од последната изградба не е исто што и повлекување од употреба на акредитивите што постарите копии сè уште ги држат, а јазот меѓу тие два факти е токму прозорецот што му е потребен на напаѓач.