Reconstruir um equipamento VPN Raspberry Pi sem copiar a chave

Arrancar uma vez a partir de uma imagem não transforma uma Pi num equipamento reconstruível. O que é preciso é um pequeno conjunto de entradas que possa voltar a aplicar: uma base mantida, uma configuração declarada, os dados persistentes da aplicação e uma identidade de dispositivo que pertença apenas a essa placa. Se esquecer a última, cada substituição torna-se um clone de uma credencial.

Os passos abaixo são uma ordem de trabalho, não uma recomendação de ferramentas. Servirá qualquer sistema de configuração que os consiga exprimir.

Primeiro, liste os quatro tipos de entrada

A imagem base e os seus pacotes definem o sistema operativo, a arquitetura e a origem das atualizações, e um construtor de imagens só ajuda se a ferramenta que nomeia ainda for mantida para a sua versão. A configuração declarada é a parte que uma pessoa revê: papéis de rede, definições dos serviços e as ações de ciclo de vida de que cada serviço precisa. Os dados persistentes da aplicação são tudo o que o serviço não consegue regenerar, e a sua localização e método de cópia de segurança pertencem a essa aplicação, não à imagem. As identidades e os segredos dos dispositivos são a quarta entrada, e são precisamente a que as pessoas esquecem quando clonam um cartão que funciona.

Escreva as quatro listas antes de reconstruir seja o que for. Uma lista com uma linha em branco é uma decisão que ainda não tomou.

Mantenha os segredos fora do repositório e diga onde vivem

Um repositório é um bom lar para modelos revistos e configuração não secreta, e um mau lar para chaves privadas de VPN, credenciais de administrador reutilizáveis e arquivos de diagnóstico. Se um segredo tiver de existir no dispositivo, registe de onde vem, quem o pode ler e como é rodado. Uma chave que vive apenas num cartão SD é um ponto único de falha, enquanto uma chave copiada para cada placa é uma credencial de toda a frota sem dono. Nenhuma das duas é um plano de recuperação.

O teste é simples: se o repositório fugisse amanhã, o que ganharia um atacante? Os modelos e as notas de topologia sobrevivem. Uma identidade a funcionar, não.

Deixe a automatização possuir o que consegue voltar a executar

O modelo do Ansible mantém um inventário de nós geridos separado das peças, tarefas, funções e handlers que disparam quando uma tarefa relata uma alteração. Use essa estrutura para dar a cada serviço um único proprietário da configuração em vez de reproduzir um histórico de shell. Prefira operações seguras de executar duas vezes e decida deliberadamente como um ficheiro alterado chega ao processo em execução. Uma tarefa que garante que um serviço está iniciado não o faz necessariamente recarregar uma configuração que acabou de reescrever.

Separe também as fases da administração. A conectividade de arranque, a configuração de rotina e a gestão dependente da VPN são três janelas diferentes, e a terceira pode retirar o seu próprio acesso se a reconstrução reiniciar a rede por baixo. Mantenha um caminho de entrada independente.

Restaure dados e identidade de propósito

Os volumes dos contentores persistem independentemente do ciclo de vida do contentor, enquanto a camada de escrita dentro do contentor não, e é por isso que recriar um contentor a partir da sua imagem não recria o estado que a aplicação estava a usar, como descreve a documentação de volumes. Registe os volumes, as montagens e os serviços externos de que o equipamento depende, e use o processo de cópia de segurança e restauro da própria aplicação. Um contentor que arranca sem erro não é prova de que a sua base de dados e os seus ficheiros concordam.

Quanto à identidade, decida se está a recuperar o mesmo dispositivo ou a registar um substituto, porque são operações diferentes com limpeza diferente.

Reconcilie o acesso do antigo par antes de ativar uma identidade noutro local, e só depois teste o equipamento reconstruído num ambiente isolado ou de recuperação. Verifique os dados necessários, a identidade correta, um caminho de atualização com proprietário e a política de rede pretendida.

Uma imagem arrancável é uma entrada entre quatro, e é a mais fácil de reproduzir.