VPN सर्व्हरची प्रतिमा तिची ओळख प्रत करून न घेता प्रत करणे

प्रतिमा बूट होते, सेवा सुरू होते आणि ग्राहक जोडले जातात. हाच तो क्षण आहे थांबून विचारण्याचा की नुकतेच दोन अतिशय भिन्न क्रियांपैकी कोणती घडली. एकतर प्रत पूर्वी अस्तित्वात असलेला एक तार्किक गेटवे पुनर्संचयित करत आहे, किंवा ती ताफ्यात दुसरा गेटवे जोडत आहे. दोन्ही वैध आहेत, आणि त्यांचे ओळख व प्रवेशावर वेगळे परिणाम आहेत. स्वच्छ उभे राहणारे यंत्र दोन्हीपैकी काहीही सिद्ध करत नाही.

तीन अटी उत्तर ठरवतात, आणि त्या प्रतिमा वाहून नेऊ शकते अशा सामग्रीच्या तीन टोपल्या आहेत. प्रतिमा तयार होण्यापूर्वी त्यांचे वर्गीकरण करा, दोन वेळा तैनात झाल्यानंतर नाही.

प्रथम तुम्ही दोनपैकी कोणती क्रिया करत आहात ते ठरवा

पुनर्संचयन एक सेवा ओळख टिकवते. जुनी प्रत गेली, नाव आणि प्रमाणपत्र राहते, आणि ग्राहक त्याच अंतिम बिंदूवर विश्वास ठेवत राहतात. जोडणी दुसरी ओळख निर्माण करते, जी ग्राहक, नोंदी आणि रद्दीकरण सर्वांनी वेगळी ओळखली पाहिजे.

हा फरक केवळ दिसण्याचा नाही. जर दोन सजीव यजमान एकच गेटवे प्रमाणपत्र सादर करतात, तर ग्राहक त्यांना वेगळे ओळखू शकत नाही, लेखापरीक्षण मागही ओळखू शकत नाही, आणि ते प्रमाणपत्र रद्द केल्यास दोन्ही एकाच वेळी निघून जातात. हे कदाचित जाणीवपूर्वक उच्च उपलब्धता रचनेला हवे असेल, आणि घाईघाईने केलेल्या प्रतिमा प्रतीचा हेतू क्वचितच तो असतो.

म्हणून पहिला निर्णय एक वाक्य आहे, प्रतिमा बिल्ड यजमान सोडण्यापूर्वी लिहिलेले: ही प्रत गेटवे A पुनर्संचयित करते, किंवा ही प्रत गेटवे B बनते. त्यानंतरचे सर्व त्या वाक्याच्या तुलनेत हिशोब आहे. जर कोणी ते लिहू शकत नाही, तर प्रत तयार करण्यास तयार नाही.

पुनर्वापरयोग्य इनपुट, ओळख आणि अधिकार, तैनाती स्थिती

पुनर्वापरयोग्य टोपली सोपी आहे: पॅकेज, गुपितांशिवाय पुनरावलोकित संरचना, सेवा नमुने, कडकीकरण संचिका. प्रतिमा खरोखर यात चांगली आहे, आणि ती मर्यादेशिवाय पुनरुत्पादित करता येते.

ओळख आणि अधिकाराची टोपली हीच चुकण्याची जागा आहे. गेटवेची खाजगी किल्ली आणि प्रमाणपत्र त्या गेटवेची ओळख प्रत्येक ग्राहकाला करून देतात. प्रमाणपत्र प्राधिकरणाची स्वाक्षरी किल्ली वेगळ्या शक्तीची वेगळी वस्तू आहे: ती ओळखी जारी करते. जारीकर्त्यावर विश्वास ठेवणे म्हणजे प्रत्येक नवीन गेटवेला जारी करण्याची क्षमता लागते असे नाही, आणि स्वाक्षरी किल्ली प्रतिमेच्या आत पाठवणे ती क्षमता प्रतिमा वाचू शकणाऱ्या प्रत्येकाला देते.

तैनाती स्थितीची टोपली लोक विसरतात कारण ती संरचनेसारखी दिसते. ऐकण्याचे पत्ते, पत्ता तलाव, ढकललेले मार्ग, निराकरणकर्त्याच्या संचिका आणि स्थानिक एकात्मता सर्व पहिल्या यजमानाबद्दल गृहितके संकेत करतात. त्या प्रत करणारे दुसरे नोड दुसऱ्या गेटवेच्या मालकीच्या तलावातून वाटप करू शकते, किंवा ग्राहकांना मूळाच्या शेजारीच असलेल्या साधनाकडे पाठवू शकते.

नव्या नोडला काय द्यावे, आणि कोणाकडून

स्वतंत्रपणे व्यवस्थापित नोडने आपली परिचयपत्रे मंजूर नोंदणी प्रक्रियेद्वारे घ्यावीत, आणि स्वाक्षरीची क्रिया नव्या यजमानावर नव्हे तर स्वाक्षरी किल्ली जिथे आहे तिथे व्हावी. इतर नोड्सना त्रास न देता कोणती ओळख मागे घेता येते ते नोंदवा; उत्तर "सर्व" असल्यास, रचनेत दोन असल्याचे नाटक करणारी एकच ओळख आहे.

नेटवर्क मूल्यांनाही तसेच वागणूक मिळायला हवी. विद्यमान गेटवेशी न टकरणारा तलाव, ऐकण्याचा पत्ता आणि ढकललेल्या मार्गांचा संच निवडा, आणि ते प्रतिमेत नव्हे तर पुरवठा इनपुटमध्ये लिहा. इनपुट पुनरावलोकनयोग्य आहे; प्रतिमा नाही.

एक वैध मध्यस्थ प्रसंग आहे. समर्थित पुनर्प्राप्ती किंवा प्रतिकृती रचना जाणीवपूर्वक एक तार्किक सेवा ओळख यजमानांमध्ये ठेवू शकते, जुन्या प्रतीपर्यंत नियंत्रित प्रवेश आणि फिरकी योजनेसह. तो मालक असलेला निर्णय आहे, प्रतिमा सोयीची होती म्हणून होणारा डीफॉल्ट नाही.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

पहिला आदेश सांगतो की नोड प्रत्यक्षात कोणती ओळख सादर करतो आणि कोणी स्वाक्षरी केली. दुसरा प्रारंभिक यादी आहे, पुरावा नाही: खाजगी सामग्री त्या निर्देशिकेबाहेर, अनुप्रयोगाच्या डेटाबेसच्या आत, किंवा चालू असलेल्या संचिका प्रणाली आता न दाखवणाऱ्या स्नॅपशॉट थरात असू शकते.

प्रतिमेची प्रत शांतपणे काय वाहून नेते

प्रतिमेच्या नवीनतम आवृत्तीतून संचिका हटवल्याने ती जुन्या आवृत्त्या, थर कॅशे किंवा ती अस्तित्वात असताना घेतलेल्या स्नॅपशॉटमधून काढली जात नाही. म्हणून परिचयपत्रे वाहणाऱ्या प्रतिमा संपूर्ण आयुष्यभर संवेदनशील वस्तू म्हणून वागवल्या पाहिजेत, केवळ तयार होण्याच्या क्षणी नाही.

प्रतिमेतील सामग्री आणि पुरवठा इनपुट स्वतंत्र प्रश्न म्हणून तपासा. प्रतिमा "या कलाकृतीत काय आहे" याला उत्तर देते, तर इनपुट "पहिल्या बूटवर ही प्रत काय होईल" याला उत्तर देतात. सामायिक किल्ली आणणाऱ्या बूटस्ट्रॅप स्क्रिप्टसह स्वच्छ प्रतिमा पहिल्या प्रश्नाला चांगले आणि दुसऱ्याला वाईट उत्तर देते.

कायदेशीरपणे गुपिते असलेल्या पुनर्प्राप्ती प्रतिमा ज्यांना त्यांची गरज आहे त्यांच्यापुरत्या मर्यादित ठेवा, आणि त्या कुठे साठवल्या आहेत ते नोंदवा. पर्याय, म्हणजे कोणत्याही पुरवठ्याशिवाय काम करत असल्याने सोयीची प्रतिमा, ती शोधणाऱ्या प्रत्येकाला गेटवेची ओळख देणारी तीच प्रतिमा आहे. त्या दोन कामांपैकी एकच बिल्ड नोंदीत दिसते.

उत्पादनापूर्वीच्या प्रवेश तपासण्या

नोड रहदारी घेण्यापूर्वी चार गोष्टी निश्चित करा: तो सादर करणारी ओळख, स्वीकारणारे ग्राहक, प्रवेशास परवानगी असलेली साधने, आणि वाटून देणाऱ्या पत्त्यांसाठी परतीचा मार्ग.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

नंतर अपघात पकडणारा नकारात्मक प्रसंग तपासा: नव्या नोडकडे मूळासाठी हेतू असलेला प्रशासक किंवा ग्राहक प्रवेश आहे का? प्रत केलेली संरचना जास्तीची ग्राहक नोंद, वारसाहक्काने मिळालेला व्यवस्थापन मार्ग, किंवा पहिल्या यजमानावर अर्थपूर्ण असलेला पुश निर्देश वाहू शकते.

जर सजीव गुपिते असलेली प्रतिमा आधीच तिच्या मंजूर मर्यादेबाहेर गेली असेल, तर परिचयपत्रे बदला आणि प्रती मर्यादित करा. नवीनतम बिल्डमधून संचिका काढणे हे जुन्या प्रतींकडे अजून असलेले परिचयपत्र निवृत्त करण्यासारखे नाही, आणि त्या दोन वस्तुस्थितींमधील अंतर हीच हल्लेखोराला लागणारी नेमकी खिडकी आहे.