Mengklon imej pelayan VPN tanpa mengklon identitinya

Imej but, perkhidmatan bermula dan klien menyambung. Itulah saat untuk berhenti dan bertanya operasi mana antara dua operasi yang sangat berbeza baru berlaku. Sama ada salinan memulihkan satu gerbang logik yang wujud sebelum ini, atau ia menambah gerbang kedua ke armada. Kedua-duanya sah, dan kedua-duanya mempunyai kesan berbeza terhadap identiti dan akses. Mesin yang naik dengan bersih tidak membuktikan mana-mana satu.

Tiga syarat menentukan jawapannya, dan ia adalah tiga bakul bahan yang boleh dibawa oleh imej. Asingkannya sebelum imej dibina, bukan selepas ia digunakan dua kali.

Pertama tentukan operasi mana yang anda lakukan

Pemulihan mengekalkan satu identiti perkhidmatan. Contoh lama sudah tiada, nama dan sijil kekal, dan klien terus mempercayai titik akhir yang sama. Penambahan mencipta identiti kedua yang mesti dibezakan oleh klien, log dan pembatalan.

Perbezaan ini bukan kosmetik. Jika dua hos hidup membentangkan sijil gerbang yang sama, klien tidak dapat membezakannya, jejak audit juga tidak, dan pembatalan sijil itu membuang kedua-duanya sekali gus. Itu mungkin tepat apa yang dikehendaki oleh reka bentuk ketersediaan tinggi yang disengajakan, dan jarang menjadi maksud salinan imej yang tergesa-gesa.

Jadi keputusan pertama ialah satu ayat, ditulis sebelum imej meninggalkan hos binaan: salinan ini memulihkan gerbang A, atau salinan ini menjadi gerbang B. Segala-galanya selepas itu ialah perakaunan terhadap ayat itu. Jika tiada siapa boleh menulisnya, salinan itu belum sedia untuk dibina.

Input boleh guna semula, identiti dan kuasa, keadaan penggunaan

Bakul boleh guna semula ialah yang mudah: pakej, konfigurasi yang disemak tanpa rahsia, templat perkhidmatan, tetapan pengukuhan. Inilah yang benar-benar dikuasai oleh imej, dan ia boleh dihasilkan semula tanpa had.

Bakul identiti dan kuasa ialah tempat salinan tersilap. Kunci persendirian dan sijil gerbang mengenal pasti gerbang itu kepada setiap klien. Kunci tandatangan pihak berkuasa sijil ialah objek berbeza dengan kuasa berbeza: ia mengeluarkan identiti. Mempercayai pengeluar tidak bermakna setiap gerbang baharu memerlukan keupayaan mengeluarkan, dan menghantar kunci tandatangan di dalam imej memberikan keupayaan itu kepada apa sahaja yang boleh membaca imej itu.

Bakul keadaan penggunaan ialah yang orang lupakan kerana ia kelihatan seperti konfigurasi. Alamat mendengar, kolam alamat, laluan yang ditolak, tetapan penyelesai dan integrasi tempatan semuanya mengekod andaian tentang hos pertama. Nod kedua yang menyalinnya boleh memperuntukkan daripada kolam yang sudah dimiliki gerbang lain, atau menghala klien ke sumber yang hanya wujud di sebelah yang asal.

Apa yang perlu diberikan kepada nod baharu, dan oleh siapa

Nod yang diurus secara bebas sepatutnya menerima kelayakan sendiri melalui proses pendaftaran yang diluluskan, dengan operasi tandatangan berlaku di tempat kunci tandatangan berada dan bukan pada hos baharu. Catat identiti mana yang boleh ditarik balik tanpa mengganggu nod lain; jika jawapannya "semua", reka bentuk itu mempunyai satu identiti yang berpura-pura menjadi dua.

Nilai rangkaian wajar mendapat layanan yang sama. Pilih kolam, alamat mendengar dan set laluan yang ditolak yang tidak berlanggar dengan gerbang sedia ada, dan tulisnya dalam input peruntukan dan bukan dalam imej. Input boleh disemak; imej tidak.

Ada kes pertengahan yang sah. Reka bentuk pemulihan atau replikasi yang disokong boleh mengekalkan satu identiti perkhidmatan logik merentas hos dengan sengaja, dengan akses terkawal ke salinan lama dan pelan putaran. Itu keputusan dengan pemilik, bukan lalai yang berlaku kerana imej itu memudahkan.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Perintah pertama memberitahu identiti mana yang sebenarnya dibentangkan oleh nod dan siapa yang menandatanganinya. Yang kedua ialah inventori permulaan, bukan bukti: bahan persendirian boleh berada di luar direktori itu, di dalam pangkalan data aplikasi, atau dalam lapisan syot kilat yang tidak lagi ditunjukkan oleh sistem fail yang berjalan.

Apa yang dibawa secara senyap oleh salinan imej

Memadam fail daripada semakan terbaharu sesuatu imej tidak mengeluarkannya daripada semakan lama, cache lapisan atau syot kilat yang diambil semasa ia wujud. Itulah sebabnya imej yang membawa kelayakan mesti dianggap sebagai objek sensitif sepanjang hayatnya, bukan hanya pada saat ia dibina.

Semak kandungan imej dan input peruntukan sebagai dua soalan berasingan. Imej menjawab "apa yang ada di dalam artifak ini", manakala input menjawab "apa yang akan menjadi contoh ini pada but pertama". Imej bersih dengan skrip but yang mengambil kunci dikongsi menjawab soalan pertama dengan baik dan soalan kedua dengan buruk.

Hadkan imej pemulihan yang mengandungi rahsia secara sah kepada orang yang memerlukannya, dan catat di mana ia disimpan. Alternatifnya, imej yang memudahkan kerana berfungsi tanpa sebarang peruntukan, ialah imej yang sama yang memberikan identiti gerbang kepada sesiapa yang menemuinya. Hanya satu daripada dua tugas itu muncul dalam log binaan.

Pemeriksaan kemasukan sebelum pengeluaran

Sebelum nod menerima trafik, pastikan empat perkara: identiti yang dibentangkannya, klien yang akan diterimanya, sumber yang dibenarkan dicapainya dan laluan pulang bagi alamat yang diagihkannya.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Kemudian semak kes negatif, iaitu yang menangkap kemalangan: adakah nod baharu mempunyai akses pentadbir atau klien yang dimaksudkan untuk yang asal? Konfigurasi yang disalin mungkin membawa entri klien tambahan, laluan pengurusan yang diwarisi atau arahan push yang masuk akal pada hos pertama.

Jika imej yang mengandungi rahsia hidup sudah melepasi had yang diluluskan, ganti kelayakan dan kawal salinannya. Membuang fail daripada binaan terbaharu bukanlah sama dengan memberhentikan kelayakan yang masih dipegang oleh salinan lama, dan jurang antara dua fakta itu ialah tepat tetingkap yang diperlukan oleh penyerang.