പങ്കിട്ട CA, വേറിട്ട വാതിലുകൾ: ഓരോ പ്രവേശന ഫയലിനും ഒരു സേവനം

പങ്കിട്ട അധികാരിക്കെതിരെ സാധൂകരിക്കപ്പെടുന്ന സർട്ടിഫിക്കറ്റ് വിശ്വാസത്തിന്റെ പരീക്ഷയാണ് കടന്നത്, അംഗത്വത്തിന്റെ പരീക്ഷയല്ല. ഈ രണ്ട് തീരുമാനങ്ങളും പലപ്പോഴും ഒന്നായി ചേരുന്നു, കാരണം രണ്ടും ബന്ധിപ്പിക്കുന്ന സമയത്താണ് സംഭവിക്കുന്നത്, ആ സേവനത്തിൽ ഉണ്ടാകരുതാത്ത ഒരാളെ അതിൽ പ്രവേശിപ്പിക്കുന്നതുവരെ ആ ചേരൽ അദൃശ്യമായിരിക്കും. പരിഹാരം രണ്ടാമതൊരു അധികാരിയല്ല; ഓരോ സേവനത്തിനും എടുക്കുന്നതും ഡീമോൺ വായിക്കുന്നിടത്ത് രേഖപ്പെടുത്തുന്നതുമായ രണ്ടാമത്തെ തീരുമാനമാണ്. രണ്ടും വേർതിരിച്ചു നിർത്തിയാൽ ഈ മേഖലയിലെ മിക്ക ആശയക്കുഴപ്പവും അപ്രത്യക്ഷമാകും.

വിശ്വസ്ത ശൃംഖല സേവന അംഗത്വത്തെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല

രണ്ട് സേവനങ്ങൾക്ക് ഒരേ പുറപ്പെടുവിക്കുന്ന ശ്രേണി സ്വീകരിക്കാമെങ്കിലും വ്യത്യസ്ത ജനസംഖ്യകളാകാം. ഒരു ലാപ്‌ടോപ്പ് ആദ്യത്തേതിൽ പെടുന്നു, രണ്ടാമത്തേതിൽ എത്തരുത്, അതേ ശ്രേണിയിലെ മറ്റ് ക്ലയന്റുകൾ യഥാർത്ഥത്തിൽ അവിടെ പെടുന്നു. ആ സേവനത്തിൽ നിന്ന് അധികാരിയെ നീക്കിയാൽ അത് നിയമാനുസൃതമായി ഉപയോഗിക്കുന്ന എല്ലാവരും പുറത്താകും, അതിനാൽ ജോലി പ്രവേശനമാണ്, വിശ്വാസമല്ല.

ഒരു വാതിലിൽ രണ്ട് പൂട്ടുകൾ സങ്കൽപ്പിക്കുന്നത് സഹായിക്കുന്നു. സർട്ടിഫിക്കറ്റ് പുറത്തെ പൂട്ട് തുറക്കുന്നു, സേവനാടിസ്ഥാനത്തിലുള്ള തീരുമാനം അകത്തെ പൂട്ട് തുറക്കുന്നു; ഒന്നും മറ്റൊന്നിന് പകരമാകുന്നില്ല. പുറത്തെ പൂട്ട് മാത്രമുള്ള സേവനം അംഗത്വം ഒട്ടും നടപ്പാക്കുന്നില്ല, അത് പ്രാമാണീകരിക്കുക മാത്രം ചെയ്യുന്നു. എന്തെങ്കിലും മാറ്റുന്നതിന് മുൻപ് രണ്ട് തീരുമാനങ്ങളും എഴുതി വയ്ക്കുക, കാരണം പ്രവർത്തിക്കുന്ന ഒരു ബന്ധത്തിന്റെ രൂപത്തിൽ മാത്രം നിലനിൽക്കുന്ന നയം ഓഡിറ്റ് ചെയ്യാനാവില്ല. തുടർന്നുള്ളത് അകത്തെ പൂട്ടിനെക്കുറിച്ചാണ്.

ഐച്ഛിക ഓവർറൈഡുകളെ പ്രവേശന കവാടമാക്കുക

ക്ലയന്റ് കോൺഫിഗറേഷൻ ഡയറക്ടറി സാധാരണയായി ഒരു സൗകര്യമാണ്: അതിലെ ഫയലുകൾ അവ പേരിടുന്ന ക്ലയന്റുകളുടെ ക്രമീകരണങ്ങൾ ഓവർറൈഡ് ചെയ്യുന്നു, ഫയലില്ലാത്ത ക്ലയന്റ് സെർവറിന്റെ സ്ഥിരസ്ഥിതികളോടെ പ്രവർത്തിക്കുന്നു. ഒരു നിർദ്ദേശം ആ സൗകര്യത്തെ കവാടമാക്കുന്നു, അങ്ങനെ ഫയൽ ഇല്ലെങ്കിൽ ബന്ധം നിരസിക്കപ്പെടുന്നു.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

കമ്മ്യൂണിറ്റി പതിപ്പ് OpenVPN 2.6 ccd-exclusive അതിന്റെ മാനുവൽ പേജിൽ കൃത്യമായി ഈ വ്യവസ്ഥ രേഖപ്പെടുത്തുന്നു, പേരിട്ട ഫയലിന്റെ തിരച്ചിൽ ക്ലയന്റിന്റെ ഫലപ്രദമായ ഐഡന്റിറ്റിയെ ആശ്രയിച്ചിരിക്കുന്നു. മറ്റ് ബിൽഡുകളും ഉൽപ്പന്ന-നിയന്ത്രിത സെർവറുകളും വ്യത്യസ്തമായേക്കാം, അതിനാൽ മറ്റെവിടെയെങ്കിലും അതേ അർത്ഥശാസ്ത്രത്തെ ആശ്രയിക്കുന്നതിന് മുൻപ് ഇൻസ്റ്റാൾ ചെയ്ത പതിപ്പ് ഉറപ്പാക്കുക.

മുകളിലെ പാത ഒരു ഉദാഹരണമായി കണക്കാക്കി, ഒരു ഗൈഡ് കെട്ടിച്ചമച്ച ഡയറക്ടറി ഉണ്ടാക്കുന്നതിനു പകരം വിന്യസിച്ച രൂപകൽപ്പന പരിശോധിക്കുക. നിലവിലുള്ള സർട്ടിഫിക്കറ്റ് പരിശോധനകൾ, സെർവർ ഐഡന്റിറ്റി പരിശോധനകൾ, അക്കൗണ്ട് പ്രാമാണീകരണം എന്നിവ മുൻപുണ്ടായിരുന്നതുപോലെ തന്നെ വയ്ക്കുക, കാരണം ഈ ശകലം ഒരു വ്യവസ്ഥ ചേർക്കുന്നു, ഒന്നും നീക്കുന്നില്ല. ഉൽപ്പാദനത്തിന് മുൻപ് മാറ്റം തയ്യാറാക്കുക, കാരണം തെറ്റായ സ്ഥലത്ത് ഉയർത്തുന്ന നിരസിക്കൽ സർട്ടിഫിക്കറ്റ് തകരാറായി തോന്നി അന്വേഷണത്തെ അധികാരിയിലേക്ക് അയയ്ക്കും. ശേഷം, നിരസിക്കപ്പെട്ട ക്ലയന്റിന്റെ ലോഗ് വരി ശൃംഖലയല്ല, കാണാതായ കോൺഫിഗറേഷൻ ഫയൽ പേരിടുന്നുവെന്ന് ഉറപ്പാക്കുക.

ഓരോ സേവനത്തിനും ഒരു ഡയറക്ടറി, ഒരു പങ്കിട്ട പട്ടികയല്ല

അംഗത്വം അത് നടപ്പാക്കുന്ന സേവനത്തിനുള്ളതാണ്, അതിനാൽ ഓരോ സേവനവും സ്വന്തം ഡയറക്ടറിയും സ്വന്തം ഫയലുകളും സൂക്ഷിക്കുന്നു. രണ്ട് സേവനങ്ങളെ ഒരു പട്ടികയിലേക്ക് ചൂണ്ടുന്നത് അവ അംഗത്വം പങ്കിടാൻ ഇടയാക്കുന്നു ആരെങ്കിലും അത് ഉദ്ദേശിച്ചോ ഇല്ലയോ എന്നത് പരിഗണിക്കാതെ, ഉണ്ടാകുന്ന മാറ്റം ഒരു തീരുമാനത്തിലേക്ക് തിരികെ കണ്ടെത്താൻ പ്രയാസമാണ്. പങ്കിട്ട അധികാരി പങ്കിട്ടതായി തുടരാം; പ്രവേശന ഫയലുകൾക്ക് അതാവില്ല. അവ വേർതിരിച്ചു നിർത്തുന്നത് ഒരു സേവനത്തിലെ പിഴവ് മറ്റൊന്നിനെ നിശ്ശബ്ദമായി വിപുലീകരിക്കാനാവില്ല എന്നും അർത്ഥമാക്കുന്നു.

DEFAULT എൻട്രി ആളുകളെ തെറ്റിദ്ധരിപ്പിക്കുന്ന കേസാണ്. പേരിട്ട ഫയൽ കണ്ടെത്താത്തപ്പോൾ അത് ബാക്കപ്പ് ക്രമീകരണങ്ങൾ നൽകുന്നു, പക്ഷേ അത് കവാടം ആവശ്യപ്പെടുന്ന പേരിട്ട ഫയലല്ല, അതിനാൽ അത് ഒറ്റയ്ക്ക് ഒരു ക്ലയന്റിനെ പ്രവേശിപ്പിക്കാനാവില്ല. ഒരു എൻട്രിയുമില്ലാത്ത ക്ലയന്റ് പരിശോധിച്ച് നിരസിക്കൽ ഉറപ്പാക്കുക; ആ ക്ലയന്റ് പ്രവേശിപ്പിക്കപ്പെടുന്നുവെങ്കിൽ, ബാക്കപ്പ് പ്രയോഗിക്കുന്നു, ccd-exclusive ആ ഇൻസ്റ്റൻസിൽ പ്രാബല്യത്തിലില്ല.

ഫലപ്രദമായ ഐഡന്റിറ്റി ഏത് ഫയലാണ് വായിക്കുന്നതെന്ന് തീരുമാനിക്കുന്നു

തിരച്ചിൽ ക്ലയന്റ് യഥാർത്ഥത്തിൽ പ്രാമാണീകരിച്ച ഐഡന്റിറ്റി ഉപയോഗിക്കുന്നു, അത് സാധാരണയായി സർട്ടിഫിക്കറ്റിന്റെ പൊതുനാമമാണ്. സെർവർ ഉപയോക്തൃനാമവും പാസ്‌വേഡും പരിശോധിച്ച് ആ പേരിനെ പൊതുനാമത്തിലേക്ക് മാപ്പ് ചെയ്യുമ്പോൾ, ഫയൽ പകരം പ്രാമാണീകരിച്ച ഉപയോക്തൃനാമവുമായി പൊരുത്തപ്പെടണം. പൊരുത്തക്കേട് ഒരിക്കലും തിരഞ്ഞെടുക്കപ്പെടാത്ത വിശ്വസനീയ ഫയൽനാമങ്ങൾ കൊണ്ട് ഡയറക്ടറി നിറച്ചിടുന്നു.

വായനയാണ് മറ്റേ പകുതി. ഡീമോൺ സാധാരണയായി ആരംഭിച്ചതിന് ശേഷം പ്രത്യേകാവകാശങ്ങൾ ഉപേക്ഷിക്കുന്നു, അതിനാൽ കുറയ്ക്കപ്പെട്ട അക്കൗണ്ടിന് ഡയറക്ടറിയിലേക്കും അതിലെ ഓരോ എൻട്രിയിലേക്കും വായനാനുമതി വേണം. എഴുതാവുന്ന ഏതെങ്കിലും പാതയിലൂടെ സ്വന്തം എൻട്രി സൃഷ്ടിക്കാൻ ക്ലയന്റുകൾക്ക് കഴിയരുത്, കാരണം സ്വയം-സേവന പ്രവേശനം സംവിധാനത്തെ പൂർണ്ണമായി അസാധുവാക്കുന്നു. ഫയൽ മോഡ് മാത്രമല്ല, മൗണ്ട്, പങ്കിടൽ അനുമതികളും പരിശോധിക്കുക, കാരണം ഒരു അക്കൗണ്ടിന് അടച്ചതായി തോന്നുന്ന ഡയറക്ടറി മറ്റൊന്നിന് തുറന്നിരിക്കാം. പിന്നീട് പ്രവർത്തിക്കുന്ന പ്രോസസ് യഥാർത്ഥത്തിൽ ഏത് അക്കൗണ്ടാണ് ഉപയോഗിക്കുന്നതെന്ന് ഉറപ്പാക്കുക, unit ഫയൽ പറയുന്ന അക്കൗണ്ടല്ല. രണ്ടും ഒന്നാകുന്നത് മറ്റൊന്നും അവയെ മാറ്റാത്തപ്പോൾ മാത്രമാണ്.

നിരസിക്കൽ, പ്രവേശനം, റദ്ദാക്കൽ എന്നിവ വെവ്വേറെ നിരീക്ഷിക്കുക

സേവനത്തിൽ പെടുന്ന ഒരു ഐഡന്റിറ്റി പരീക്ഷിച്ച് അത് ബന്ധിപ്പിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. എൻട്രിയില്ലാത്ത സാധുവായ സർട്ടിഫിക്കറ്റ് പരീക്ഷിച്ച് അത് നിരസിക്കപ്പെടുന്നുവെന്ന് ഉറപ്പാക്കുക. മറ്റേ സേവനത്തിൽ പ്രവേശിപ്പിച്ച ഐഡന്റിറ്റി പരീക്ഷിച്ച് അത് ഇവിടെ പ്രവേശിക്കപ്പെടുന്നില്ലെന്ന് ഉറപ്പാക്കുക. ഓരോ ഫലത്തിനൊപ്പവും സേവന ഇൻസ്റ്റൻസും ഫലപ്രദമായ ഐഡന്റിറ്റിയും രേഖപ്പെടുത്തുക, കാരണം ഈ സന്ദർഭമില്ലാത്ത ഫലം മറ്റാർക്കും പുനരുൽപ്പാദിപ്പിക്കാനാവില്ല.

പിൻവലിക്കൽ റദ്ദാക്കലിൽ നിന്ന് വേറിട്ട ഒരു പ്രവർത്തനമാണ്. പ്രവേശന ഫയൽ തിരുത്തിയാൽ ഒരു സേവനാവകാശം നീങ്ങുന്നു, ഐഡന്റിറ്റി മറ്റെല്ലായിടത്തും സാധുവായി തുടരുന്നു, എന്നാൽ വിട്ടുപോയ കീയ്ക്ക് സംഘടനയുടെ റദ്ദാക്കൽ പ്രതികരണം ആവശ്യമാണ്. ഇതിനകം തുറന്ന സെഷനുകൾക്ക് എന്ത് സംഭവിക്കുമെന്ന് മുൻകൂട്ടി തീരുമാനിക്കുക, കാരണം ഡയറക്ടറി തിരുത്തലോ റദ്ദാക്കൽ പട്ടികയോ അവയെ സ്വയം അവസാനിപ്പിക്കുന്നില്ല.

പ്രവേശനം ആദ്യത്തെ കവാടം മാത്രമാണ്. ഒരു സേവനത്തിൽ ചേരുന്നത് അതിന് പിന്നിലെ സബ്‌നെറ്റുകൾ, ഡാറ്റാബേസുകൾ, അല്ലെങ്കിൽ മാനേജ്‌മെന്റ് ഇന്റർഫേസുകൾ എന്നിവയെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, ആ വിഭവ നയം വെവ്വേറെ എഴുതി പരിശോധിക്കണം.