Ikkloona immaġni ta' server VPN mingħajr ma tikkloona l-identità tiegħu

L-immaġni tibda, is-servizz jibda u l-klijenti jgħaqqdu. Dak huwa l-mument li tieqaf u tistaqsi liema miż-żewġ operazzjonijiet differenti ħafna għadhom kemm seħħew. Jew il-kopja qed tirrestawra gateway loġiku wieħed li kien jeżisti qabel, jew qed iżżid it-tieni gateway mal-flotta. It-tnejn huma leġittimi, u għandhom konsegwenzi differenti għall-identità u l-aċċess. Magna li titla' nadifa ma tipprovax ebda waħda minnhom.

Tliet kundizzjonijiet jiddeċiedu t-tweġiba, u huma t-tliet basktijiet ta' materjal li immaġni tista' ġġorr. Issortjahom qabel ma tinbena l-immaġni, mhux wara li tkun ġiet implimentata darbtejn.

L-ewwel iddeċiedi liema miż-żewġ operazzjonijiet qed tagħmel

Restawr iżomm identità waħda tas-servizz. L-istanza l-qadima marret, l-isem u ċ-ċertifikat jibqgħu, u l-klijenti jkomplu jafdaw l-istess punt finali. Żieda toħloq it-tieni identità li l-klijenti, ir-reġistri u t-tħassir kollha jridu jiddistingwu.

Id-differenza mhix kożmetika. Jekk żewġ hosts ħajjin jippreżentaw l-istess ċertifikat tal-gateway, klijent ma jistax jiddistingwihom, u lanqas traċċa tal-awditjar ma tista', u t-tħassir ta' dak iċ-ċertifikat ineħħi t-tnejn f'daqqa. Dan jista' jkun eżattament dak li jrid disinn deliberat ta' disponibbiltà għolja, u rarament huwa dak li jrid kopja mgħaġġla ta' immaġni.

Għalhekk l-ewwel deċiżjoni hija sentenza, miktuba qabel l-immaġni titlaq mill-host tal-bini: din il-kopja tirrestawra l-gateway A, jew din il-kopja ssir il-gateway B. Kollox wara hija kontabilità kontra dik is-sentenza. Jekk ħadd ma jista' jiktibha, il-kopja mhijiex lesta biex tinbena.

Inputs li jistgħu jerġgħu jintużaw, identità u awtorità, stat tal-implimentazzjoni

Il-baskett li jista' jerġa' jintuża huwa dak faċli: pakketti, konfigurazzjoni riveduta bla sigrieti, mudelli tas-servizz, settings tat-tisħiħ. Dan huwa dak li immaġni hija tassew tajba fih, u jista' jiġi riprodott bla limitu.

Il-baskett tal-identità u l-awtorità huwa fejn il-kopji jmorru ħażin. Iċ-ċavetta privata u ċ-ċertifikat ta' gateway jidentifikaw dak il-gateway lil kull klijent. Iċ-ċavetta tal-firma tal-awtorità taċ-ċertifikati hija oġġett differenti b'qawwa differenti: toħroġ l-identitajiet. Li tafda f'min joħroġ ma jfissirx li kull gateway ġdid għandu bżonn il-kapaċità li joħroġ, u li tibgħat iċ-ċavetta tal-firma ġewwa immaġni tagħti dik il-kapaċità lil kull ħaġa li tista' taqra l-immaġni.

Il-baskett tal-istat tal-implimentazzjoni huwa dak li n-nies jinsiew għax jidher bħal konfigurazzjoni. L-indirizzi tas-smigħ, il-pools tal-indirizzi, ir-rotot imbuttati, is-settings tas-solvatur u l-integrazzjoni lokali kollha jikkodifikaw suppożizzjonijiet dwar l-ewwel host. It-tieni nod li jikkopjahom jista' jalloka minn pool li diġà għandu gateway ieħor, jew jindirizza l-klijenti lejn riżors li jeżisti biss ħdejn l-oriġinal.

X'għandu jingħata nod ġdid, u minn min

Nod li jiġi amministrat indipendentement għandu jirċievi l-kredenzjali tiegħu permezz tal-proċess tar-reġistrazzjoni approvat, bil-firma sseħħ fejn tgħix iċ-ċavetta tal-firma u mhux fuq il-host il-ġdid. Irrekordja liema identità tista' tiġi rtirata mingħajr ma tfixkel in-nodi l-oħra; jekk it-tweġiba hija "kollha", id-disinn għandu identità waħda li tagħmel ruħha tnejn.

Il-valuri tan-netwerk jistħoqqilhom l-istess trattament. Agħżel pool, indirizz tas-smigħ u sett ta' rotot imbuttati li ma jaqblux mal-gateway eżistenti, u iktebhom fl-inputs tal-provvista u mhux fl-immaġni. L-input jista' jiġi rivedut; l-immaġni le.

Hemm każ intermedju leġittimu. Disinn ta' rkupru jew replikazzjoni appoġġjat jista' deliberatament iżomm identità loġika waħda tas-servizz fuq diversi hosts, b'aċċess ikkontrollat għall-kopja l-qadima u pjan ta' rotazzjoni. Din hija deċiżjoni b'sid, mhux default li jiġri għax l-immaġni kienet konvenjenti.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

L-ewwel kmand jgħid liema identità l-nod fil-fatt jippreżenta u min iffirmaha. It-tieni hija inventarju tal-bidu, mhux prova: materjal privat jista' jgħix barra minn dak id-direttorju, ġewwa database tal-applikazzjoni, jew f'saff ta' snapshot li s-sistema tal-fajls li qed taħdem ma turix iktar.

X'ġġorr bil-kwiet kopja tal-immaġni

Li tħassar fajl mill-aħħar reviżjoni ta' immaġni ma jneħħihx minn reviżjonijiet eqdem, cache tas-saffi jew snapshots meħuda waqt li kien jeżisti. Għalhekk immaġnijiet li jġorru kredenzjali jridu jiġu trattati bħala oġġetti sensittivi għall-ħajja kollha tagħhom, mhux biss fil-mument tal-bini.

Iċċekkja l-kontenut tal-immaġni u l-inputs tal-provvista bħala żewġ mistoqsijiet separati. L-immaġni twieġeb "x'hemm ġewwa dan l-artefatt", filwaqt li l-inputs iwieġbu "x'se jsir dan l-istanza fl-ewwel boot". Immaġni nadifa b'skript tal-boot li jġib ċavetta kondiviża twieġeb tajjeb l-ewwel mistoqsija u ħażin it-tieni.

Żomm l-immaġnijiet tal-irkupru li leġittimament fihom sigrieti ristretti għall-persuni li għandhom bżonnhom, u rrekordja fejn jinħażnu. L-alternattiva, immaġni li hija konvenjenti għax taħdem bla ebda provvista, hija l-istess immaġni li tagħti l-identità tal-gateway lil kull min isibha. Wieħed biss minn dawk iż-żewġ kompiti jidher fil-log tal-bini.

Kontrolli tad-dħul qabel il-produzzjoni

Qabel in-nod jieħu traffiku, ikkonferma erba' affarijiet: l-identità li jippreżenta, il-klijenti li se jaċċetta, ir-riżorsi li għandu aċċess għalihom u l-passaġġ lura għall-indirizzi li jqassam.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Imbagħad iċċekkja l-każ negattiv, li jaqbad l-inċidenti: in-nod il-ġdid għandu aċċess ta' amministratur jew klijent li kien maħsub għall-oriġinal? Konfigurazzjoni kkupjata tista' ġġorr entrata tal-klijent żejda, rotta tal-ġestjoni ereditata jew direttiva push li kellha sens fuq l-ewwel host.

Jekk immaġni li fiha sigrieti ħajjin diġà mxiet lil hinn mill-limitu approvat tagħha, ibdel il-kredenzjali u rrestrinġi l-kopji. Li tneħħi l-fajl mill-aħħar bini mhuwiex l-istess bħal li tirtira l-kredenzjali li l-kopji eqdem għadhom iżommu, u l-vojt bejn dawn iż-żewġ fatti huwa eżattament it-tieqa li jinħtieġ attakkant.