Klonimi i imazhit të një serveri VPN pa klonuar identitetin e tij

Imazhi niset, shërbimi fillon dhe klientët lidhen. Ky është momenti të ndaleni dhe të pyesni cila nga dy operacione shumë të ndryshme sapo ndodhi. Ose kopja rikthen një portë logjike që ekzistonte më parë, ose shton një portë të dytë në flotë. Të dyja janë legjitime dhe kanë pasoja të ndryshme për identitetin dhe aksesin. Një makinë që ngrihet pastër nuk provon asnjërën.

Tre kushte vendosin përgjigjen, dhe ato janë tre kosha materiali që një imazh mund të mbajë. Renditini para se imazhi të ndërtohet, jo pasi është vendosur dy herë.

Fillimisht vendosni cilën nga dy operacionet po kryeni

Rikthimi mban një identitet shërbimi. Instanca e vjetër iku, emri dhe certifikata mbeten, dhe klientët vazhdojnë të besojnë të njëjtin pikë fundore. Shtimi krijon një identitet të dytë që klientët, regjistrat dhe revokimi duhet ta dallojnë.

Dallimi nuk është kozmetik. Nëse dy hoste aktive paraqesin të njëjtën certifikatë porte, një klient nuk mund t'i dallojë, as një gjurmë auditimi nuk mundet, dhe revokimi i asaj certifikate i heq të dyja përnjëherë. Kjo mund të jetë pikërisht ajo që kërkon një projekt i qëllimshëm me disponueshmëri të lartë, dhe rrallë është ajo që synon një kopje e nxituar imazhi.

Pra vendimi i parë është një fjali, e shkruar përpara se imazhi të largohet nga hosti i ndërtimit: kjo kopje rikthen portën A, ose kjo kopje bëhet portë B. Gjithçka pas kësaj është kontabilitet ndaj asaj fjalie. Nëse askush nuk mund ta shkruajë atë, kopja nuk është gati për t'u ndërtuar.

Hyrje të ripërdorshme, identiteti dhe autoriteti, gjendja e vendosjes

Kosha e ripërdorshme është ajo e lehta: paketat, konfigurimi i shqyrtuar pa sekrete, modelet e shërbimit, cilësimet e forcimit. Kjo është ajo në të cilën një imazh është vërtet i mirë, dhe mund të riprodhohet pa kufi.

Kosha e identitetit dhe autoritetit është vendi ku kopjet gabojnë. Çelësi privat dhe certifikata e një porte e identifikojnë atë portë për çdo klient. Çelësi i nënshkrimit të autoritetit certifikues është një objekt tjetër me një fuqi tjetër: lëshon identitete. Të besosh një lëshues nuk do të thotë që çdo portë e re ka nevojë për aftësinë për të lëshuar, dhe dërgimi i çelësit të nënshkrimit brenda një imazhi ia jep atë aftësi çdo gjëje që mund ta lexojë imazhin.

Kosha e gjendjes së vendosjes është ajo që njerëzit harrojnë sepse duket si konfigurim. Adresat e dëgjimit, pellgjet e adresave, rrugët e shtyra, cilësimet e zgjidhësit dhe integrimi lokal kodojnë të gjitha supozime për hostin e parë. Një nyje e dytë që i kopjon ato mund të ndajë nga një pellg që e zotëron tashmë një portë tjetër, ose t'i drejtojë klientët drejt një burimi që ekziston vetëm pranë origjinalit.

Çfarë duhet të marrë një nyje e re, dhe nga kush

Një nyje e administruar në mënyrë të pavarur duhet të marrë kredencialet e veta përmes procesit të miratuar të regjistrimit, me operacionin e nënshkrimit që ndodh atje ku jeton çelësi i nënshkrimit dhe jo në hostin e re. Regjistroni cili identitet mund të tërhiqet pa shqetësuar nyjet e tjera; nëse përgjigja është "të gjitha", projekti ka një identitet që shtiret si dy.

Vlerat e rrjetit meritojnë të njëjtin trajtim. Zgjidhni një pellg, një adresë dëgjimi dhe një grup rrugësh të shtyra që nuk përplasen me portën ekzistuese, dhe shkruajini ato në hyrjet e furnizimit në vend të imazhit. Hyrja është e shqyrtueshme; imazhi nuk është.

Ekziston një rast i ndërmjetëm legjitim. Një projekt i mbështetur rikuperimi ose replikimi mund të mbajë qëllimisht një identitet logjik shërbimi nëpër hoste, me akses të kontrolluar në kopjen e vjetër dhe një plan rrotullimi. Ky është një vendim me pronar, jo një parazgjedhje që ndodh sepse imazhi ishte i përshtatshëm.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Komanda e parë ju tregon cilin identitet nyja paraqet në të vërtetë dhe kush e nënshkroi atë. E dyta është një inventar fillestar, jo një provë: materiali privat mund të jetojë jashtë atij drejtorie, brenda një baze të dhënash aplikacioni ose në një shtresë fotografie që sistemi i skedarëve në punë nuk e shfaq më.

Çfarë mbart në heshtje një kopje e imazhit

Fshirja e një skedari nga rishikimi më i ri i një imazhi nuk e heq atë nga rishikimet më të vjetra, memorjet e shtresave ose fotografitë e marra sa kohë ai ekzistonte. Prandaj imazhet që mbartin kredenciale duhet të trajtohen si objekte të ndjeshme për gjithë jetën e tyre, jo vetëm në momentin e ndërtimit.

Kontrolloni përmbajtjen e imazhit dhe hyrjet e furnizimit si dy pyetje të veçanta. Imazhi përgjigjet për "çfarë është brenda këtij artefakti", ndërsa hyrjet përgjigjen për "çfarë do të bëhet ky instancë në nisjen e parë". Një imazh i pastër me një skript nisjeje që sjell një çelës të përbashkët i përgjigjet mirë pyetjes së parë dhe keq të dytës.

Mbajini imazhet e rikuperimit që përmbajnë ligjërisht sekrete të kufizuara për njerëzit që kanë nevojë për to, dhe regjistroni ku ruhen. Alternativa, një imazh i përshtatshëm sepse punon pa asnjë furnizim, është i njëjti imazh që i jep kujtdo që e gjen identitetin e portës. Vetëm njëra nga këto dy detyra shfaqet në një regjistër ndërtimi.

Kontrollet e pranimit përpara prodhimit

Përpara se nyja të pranojë trafik, konfirmoni katër gjëra: identitetin që paraqet, klientët që do të pranojë, burimet që i lejohet të arrijë dhe rrugën e kthimit për adresat që shpërndan.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Pastaj kontrolloni rastin negativ, i cili kap aksidentet: a ka nyja e re akses administratori ose klienti që ishte menduar për origjinalin? Një konfigurim i kopjuar mund të mbajë një hyrje shtesë klienti, një rrugë administrimi të trashëguar ose një direktivë push që kishte kuptim në hostin e parë.

Nëse një imazh që përmban sekrete të gjalla tashmë ka kaluar përtej kufirit të miratuar, zëvendësoni kredencialet dhe përmbajeni kopjet. Heqja e skedarit nga ndërtimi i fundit nuk është e njëjta gjë me tërheqjen nga përdorimi të kredencialit që kopjet më të vjetra ende mbajnë, dhe hendeku midis këtyre dy fakteve është pikërisht dritarja që i nevojitet një sulmuesi.