VPN സെർവറിന്റെ ഇമേജ് അതിന്റെ ഐഡന്റിറ്റി ക്ലോൺ ചെയ്യാതെ ക്ലോൺ ചെയ്യൽ

ഇമേജ് ബൂട്ട് ചെയ്യുന്നു, സേവനം ആരംഭിക്കുന്നു, ക്ലയന്റുകൾ ബന്ധിപ്പിക്കുന്നു. അപ്പോൾ നിർത്തി ചോദിക്കേണ്ട സമയമാണ്, രണ്ട് വളരെ വ്യത്യസ്ത പ്രവർത്തനങ്ങളിൽ ഏതാണ് ഇപ്പോൾ നടന്നത് എന്ന്. ഒന്നുകിൽ പകർപ്പ് മുമ്പ് നിലനിന്നിരുന്ന ഒരു ലോജിക്കൽ ഗേറ്റ്‌വേ പുനഃസ്ഥാപിക്കുന്നു, അല്ലെങ്കിൽ കപ്പൽക്കൂട്ടത്തിൽ രണ്ടാമത്തെ ഗേറ്റ്‌വേ ചേർക്കുന്നു. രണ്ടും നിയമാനുസൃതമാണ്, അവയുടെ ഐഡന്റിറ്റിയിലും പ്രവേശനത്തിലും ഉള്ള പ്രഭാവം വ്യത്യസ്തമാണ്. വൃത്തിയായി ഉയരുന്ന ഒരു യന്ത്രം രണ്ടും തെളിയിക്കുന്നില്ല.

മൂന്ന് വ്യവസ്ഥകളാണ് ഉത്തരം തീരുമാനിക്കുന്നത്, അവ ഒരു ഇമേജിന് വഹിക്കാവുന്ന വസ്തുക്കളുടെ മൂന്ന് കൊട്ടകളാണ്. ഇമേജ് നിർമ്മിക്കുന്നതിന് മുമ്പ് അവ തരംതിരിക്കുക, രണ്ടുതവണ വിന്യസിച്ചതിന് ശേഷമല്ല.

ആദ്യം രണ്ടിൽ ഏത് പ്രവർത്തനമാണ് ചെയ്യുന്നതെന്ന് തീരുമാനിക്കുക

പുനഃസ്ഥാപനം ഒരു സേവന ഐഡന്റിറ്റി നിലനിർത്തുന്നു. പഴയ ഇൻസ്റ്റൻസ് പോയി, പേരും സർട്ടിഫിക്കറ്റും നിലനിൽക്കുന്നു, ക്ലയന്റുകൾ അതേ എൻഡ്‌പോയിന്റിൽ വിശ്വസിക്കുന്നത് തുടരുന്നു. കൂട്ടിച്ചേർക്കൽ രണ്ടാമത്തെ ഐഡന്റിറ്റി സൃഷ്ടിക്കുന്നു, അതിനെ ക്ലയന്റുകളും ലോഗുകളും റദ്ദാക്കലും എല്ലാം വേർതിരിച്ചറിയണം.

ഈ വ്യത്യാസം കാഴ്ചയുടേതല്ല. രണ്ട് സജീവ ഹോസ്റ്റുകൾ ഒരേ ഗേറ്റ്‌വേ സർട്ടിഫിക്കറ്റ് അവതരിപ്പിച്ചാൽ, ഒരു ക്ലയന്റിന് അവയെ വേർതിരിച്ചറിയാനാവില്ല, ഓഡിറ്റ് ട്രെയിലിനും സാധ്യമല്ല, ആ സർട്ടിഫിക്കറ്റ് റദ്ദാക്കുന്നത് രണ്ടിനെയും ഒരുമിച്ച് നീക്കും. ബോധപൂർവമായ ഉയർന്ന ലഭ്യതയുടെ രൂപകൽപ്പന ആഗ്രഹിക്കുന്നത് കൃത്യമായി അതായിരിക്കാം, തിരക്കിട്ട ഒരു ഇമേജ് പകർപ്പ് ഉദ്ദേശിക്കുന്നത് അപൂർവമാണ്.

അതിനാൽ ആദ്യ തീരുമാനം ഒരു വാക്യമാണ്, ഇമേജ് നിർമ്മാണ ഹോസ്റ്റ് വിടുന്നതിന് മുമ്പ് എഴുതിവയ്ക്കണം: ഈ പകർപ്പ് ഗേറ്റ്‌വേ A പുനഃസ്ഥാപിക്കുന്നു, അല്ലെങ്കിൽ ഈ പകർപ്പ് ഗേറ്റ്‌വേ B ആകുന്നു. അതിനുശേഷമുള്ളതെല്ലാം ആ വാക്യത്തിനെതിരായ കണക്കാണ്. ആർക്കും അത് എഴുതാനാവില്ലെങ്കിൽ, പകർപ്പ് നിർമ്മിക്കാൻ തയ്യാറല്ല.

പുനരുപയോഗിക്കാവുന്ന ഇൻപുട്ടുകൾ, ഐഡന്റിറ്റിയും അധികാരവും, വിന്യാസ നില

പുനരുപയോഗിക്കാവുന്ന കൊട്ട എളുപ്പമുള്ളതാണ്: പാക്കേജുകൾ, രഹസ്യങ്ങളില്ലാത്ത പരിശോധിച്ച കോൺഫിഗറേഷൻ, സേവന ടെംപ്ലേറ്റുകൾ, കടുപ്പമാക്കൽ ക്രമീകരണങ്ങൾ. ഇമേജ് യഥാർത്ഥത്തിൽ മികച്ചതാകുന്നത് ഇതിലാണ്, പരിധിയില്ലാതെ പുനർനിർമ്മിക്കാനും കഴിയും.

ഐഡന്റിറ്റിയുടെയും അധികാരത്തിന്റെയും കൊട്ടയാണ് പകർപ്പുകൾ പിഴയ്ക്കുന്നിടം. ഗേറ്റ്‌വേയുടെ സ്വകാര്യ കീയും സർട്ടിഫിക്കറ്റും ആ ഗേറ്റ്‌വേയെ ഓരോ ക്ലയന്റിനും തിരിച്ചറിയിക്കുന്നു. സർട്ടിഫിക്കറ്റ് അതോറിറ്റിയുടെ ഒപ്പ് കീ വേറെ ശക്തിയുള്ള വേറെ വസ്തുവാണ്: അത് ഐഡന്റിറ്റികൾ പുറപ്പെടുവിക്കുന്നു. ഒരു ഇഷ്യൂവറെ വിശ്വസിക്കുന്നത് ഓരോ പുതിയ ഗേറ്റ്‌വേയ്ക്കും ഇഷ്യൂ ചെയ്യാനുള്ള കഴിവ് വേണമെന്ന് അർത്ഥമാക്കുന്നില്ല, ഒപ്പ് കീ ഒരു ഇമേജിനുള്ളിൽ അയയ്ക്കുന്നത് ആ കഴിവ് ഇമേജ് വായിക്കാൻ കഴിയുന്ന എല്ലാത്തിനും നൽകുന്നു.

വിന്യാസ നിലയുടെ കൊട്ട ആളുകൾ മറക്കുന്നതാണ്, കാരണം അത് കോൺഫിഗറേഷൻ പോലെ തോന്നുന്നു. ശ്രവണ വിലാസങ്ങൾ, വിലാസ പൂളുകൾ, തള്ളിയ റൂട്ടുകൾ, റിസോൾവർ ക്രമീകരണങ്ങൾ, പ്രാദേശിക സംയോജനം എന്നിവയെല്ലാം ആദ്യ ഹോസ്റ്റിനെക്കുറിച്ചുള്ള ഊഹങ്ങൾ കോഡ് ചെയ്യുന്നു. അവ പകർത്തുന്ന രണ്ടാമത്തെ നോഡിന് മറ്റൊരു ഗേറ്റ്‌വേ ഇതിനകം സ്വന്തമാക്കിയ പൂളിൽ നിന്ന് അനുവദിക്കാം, അല്ലെങ്കിൽ യഥാർത്ഥത്തിന് അടുത്ത് മാത്രമുള്ള ഒരു വിഭവത്തിലേക്ക് ക്ലയന്റുകളെ അയയ്ക്കാം.

പുതിയ നോഡിന് എന്ത് നൽകണം, ആരിൽ നിന്ന്

സ്വതന്ത്രമായി കൈകാര്യം ചെയ്യുന്ന ഒരു നോഡ് അനുവദിച്ച രജിസ്ട്രേഷൻ പ്രക്രിയയിലൂടെ സ്വന്തം ക്രെഡൻഷ്യലുകൾ സ്വീകരിക്കണം, ഒപ്പിടൽ പ്രവർത്തനം പുതിയ ഹോസ്റ്റിലല്ല, ഒപ്പ് കീ ഉള്ളിടത്ത് നടക്കണം. മറ്റ് നോഡുകളെ ശല്യപ്പെടുത്താതെ ഏത് ഐഡന്റിറ്റി പിൻവലിക്കാമെന്ന് രേഖപ്പെടുത്തുക; ഉത്തരം "എല്ലാം" ആണെങ്കിൽ, രൂപകൽപ്പനയിൽ രണ്ടെന്ന് അഭിനയിക്കുന്ന ഒരു ഐഡന്റിറ്റിയാണുള്ളത്.

നെറ്റ്‌വർക്ക് മൂല്യങ്ങൾക്കും അതേ പെരുമാറ്റം അർഹമാണ്. നിലവിലുള്ള ഗേറ്റ്‌വേയുമായി കൂട്ടിയിടിക്കാത്ത ഒരു പൂൾ, ശ്രവണ വിലാസം, തള്ളിയ റൂട്ടുകളുടെ കൂട്ടം എന്നിവ തിരഞ്ഞെടുത്ത്, അവ ഇമേജിലല്ല, പ്രൊവിഷനിംഗ് ഇൻപുട്ടിൽ എഴുതുക. ഇൻപുട്ട് പരിശോധിക്കാവുന്നതാണ്; ഇമേജ് അല്ല.

സാധുവായ ഒരു ഇടക്കാല സന്ദർഭമുണ്ട്. പിന്തുണയുള്ള വീണ്ടെടുക്കൽ അല്ലെങ്കിൽ പകർപ്പ് രൂപകൽപ്പന ബോധപൂർവം ഒരു ലോജിക്കൽ സേവന ഐഡന്റിറ്റി ഹോസ്റ്റുകൾക്കിടയിൽ നിലനിർത്താം, പഴയ പകർപ്പിലേക്കുള്ള നിയന്ത്രിത പ്രവേശനവും ഭ്രമണ പദ്ധതിയും സഹിതം. അത് ഉടമയുള്ള ഒരു തീരുമാനമാണ്, ഇമേജ് സൗകര്യപ്രദമായിരുന്നു എന്നതുകൊണ്ട് സംഭവിക്കുന്ന ഡിഫോൾട്ടല്ല.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

ആദ്യ കമാൻഡ് നോഡ് യഥാർത്ഥത്തിൽ ഏത് ഐഡന്റിറ്റിയാണ് അവതരിപ്പിക്കുന്നതെന്നും ആരാണ് ഒപ്പിട്ടതെന്നും പറയുന്നു. രണ്ടാമത്തേത് പ്രാരംഭ പട്ടികയാണ്, തെളിവല്ല: സ്വകാര്യ വസ്തു ആ ഡയറക്ടറിക്ക് പുറത്ത്, ഒരു ആപ്ലിക്കേഷൻ ഡാറ്റാബേസിനുള്ളിൽ, അല്ലെങ്കിൽ പ്രവർത്തിക്കുന്ന ഫയൽസിസ്റ്റം ഇനി കാണിക്കാത്ത സ്നാപ്പ്ഷോട്ട് പാളിയിൽ ആകാം.

ഇമേജിന്റെ ഒരു പകർപ്പ് നിശബ്ദമായി എന്താണ് വഹിക്കുന്നത്

ഇമേജിന്റെ ഏറ്റവും പുതിയ പതിപ്പിൽ നിന്ന് ഒരു ഫയൽ ഇല്ലാതാക്കുന്നത് പഴയ പതിപ്പുകളിൽ നിന്നോ, ലെയർ കാഷുകളിൽ നിന്നോ, അത് നിലനിന്നിരുന്നപ്പോൾ എടുത്ത സ്നാപ്പ്ഷോട്ടുകളിൽ നിന്നോ അതിനെ നീക്കില്ല. അതുകൊണ്ടാണ് ക്രെഡൻഷ്യലുകൾ വഹിക്കുന്ന ഇമേജുകളെ അവയുടെ മുഴുവൻ ആയുസ്സിലും സംവേദനക്ഷമമായ വസ്തുക്കളായി കാണേണ്ടത്, നിർമ്മാണ നിമിഷത്തിൽ മാത്രമല്ല.

ഇമേജിന്റെ ഉള്ളടക്കവും പ്രൊവിഷനിംഗ് ഇൻപുട്ടുകളും വെവ്വേറെ ചോദ്യങ്ങളായി പരിശോധിക്കുക. ഇമേജ് "ഈ കലാസൃഷ്ടിയുടെ ഉള്ളിൽ എന്താണ്" എന്ന് ഉത്തരം നൽകുന്നു, ഇൻപുട്ടുകൾ "ആദ്യ ബൂട്ടിൽ ഈ ഇൻസ്റ്റൻസ് എന്താകും" എന്നും. പങ്കിട്ട കീ കൊണ്ടുവരുന്ന ബൂട്ട്‌സ്ട്രാപ്പ് സ്ക്രിപ്റ്റുള്ള വൃത്തിയായ ഇമേജ് ആദ്യ ചോദ്യത്തിന് നന്നായും രണ്ടാമത്തേതിന് മോശമായും ഉത്തരം നൽകുന്നു.

നിയമാനുസൃതമായി രഹസ്യങ്ങൾ ഉള്ള വീണ്ടെടുക്കൽ ഇമേജുകൾ അവ ആവശ്യമുള്ളവരിൽ മാത്രം പരിമിതപ്പെടുത്തുക, അവ എവിടെ സൂക്ഷിക്കുന്നുവെന്ന് രേഖപ്പെടുത്തുക. ബദലായ, പ്രൊവിഷനിംഗ് ഒന്നുമില്ലാതെ പ്രവർത്തിക്കുന്നതുകൊണ്ട് സൗകര്യപ്രദമായ ഇമേജ്, അത് കണ്ടെത്തുന്ന ആർക്കും ഗേറ്റ്‌വേയുടെ ഐഡന്റിറ്റി നൽകുന്ന അതേ ഇമേജാണ്. ആ രണ്ട് ജോലികളിൽ ഒന്ന് മാത്രമാണ് ബിൽഡ് ലോഗിൽ കാണുന്നത്.

ഉത്പാദനത്തിന് മുമ്പുള്ള പ്രവേശന പരിശോധനകൾ

നോഡ് ട്രാഫിക് സ്വീകരിക്കുന്നതിന് മുമ്പ് നാല് കാര്യങ്ങൾ ഉറപ്പാക്കുക: അത് അവതരിപ്പിക്കുന്ന ഐഡന്റിറ്റി, സ്വീകരിക്കുന്ന ക്ലയന്റുകൾ, പ്രവേശനാനുമതിയുള്ള വിഭവങ്ങൾ, വിതരണം ചെയ്യുന്ന വിലാസങ്ങൾക്കുള്ള മടക്ക പാത.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

പിന്നീട് അപകടങ്ങളെ പിടിക്കുന്ന നെഗറ്റീവ് സന്ദർഭം പരിശോധിക്കുക: പുതിയ നോഡിന് യഥാർത്ഥത്തിനായി ഉദ്ദേശിച്ച ഒരു അഡ്മിനിസ്ട്രേറ്റർ അല്ലെങ്കിൽ ക്ലയന്റ് പ്രവേശനമുണ്ടോ? പകർത്തിയ കോൺഫിഗറേഷനിൽ ഒരു അധിക ക്ലയന്റ് എൻട്രി, പാരമ്പര്യമായി ലഭിച്ച ഒരു മാനേജ്മെന്റ് റൂട്ട്, അല്ലെങ്കിൽ ആദ്യ ഹോസ്റ്റിൽ അർത്ഥവത്തായിരുന്ന ഒരു പുഷ് നിർദ്ദേശം ഉണ്ടായേക്കാം.

സജീവ രഹസ്യങ്ങൾ ഉള്ള ഒരു ഇമേജ് ഇതിനകം അതിന്റെ അനുവദിച്ച പരിധിക്ക് പുറത്തുപോയെങ്കിൽ, ക്രെഡൻഷ്യലുകൾ മാറ്റി പകർപ്പുകൾ നിയന്ത്രിക്കുക. ഏറ്റവും പുതിയ ബിൽഡിൽ നിന്ന് ഫയൽ നീക്കുന്നത് പഴയ പകർപ്പുകൾ ഇപ്പോഴും കൈവശം വയ്ക്കുന്ന ക്രെഡൻഷ്യൽ വിരമിക്കുന്നതിന് തുല്യമല്ല, ആ രണ്ട് വസ്തുതകൾക്കിടയിലുള്ള വിടവാണ് ഒരു ആക്രമണകാരിക്ക് ആവശ്യമായ കൃത്യമായ ജാലകം.