Kunakili taswira ya seva ya VPN bila kunakili utambulisho wake

Taswira inaanza, huduma inaanza na wateja wanaunganisha. Hiyo ni saa ya kusimama na kuuliza ni ipi kati ya shughuli mbili tofauti sana iliyotokea hivi punde. Ama nakala inarejesha lango moja la kimantiki lililokuwepo awali, au inaongeza lango la pili kwenye kundi. Zote mbili ni halali, na zina athari tofauti kwa utambulisho na ufikiaji. Mashine inayoinuka safi haithibitishi mojawapo.

Masharti matatu huamua jibu, na ni vikapu vitatu vya nyenzo ambavyo taswira inaweza kubeba. Vipange kabla taswira ijengwe, si baada ya kutumwa mara mbili.

Kwanza amua ni shughuli ipi kati ya mbili unayofanya

Urejeshaji huhifadhi utambulisho mmoja wa huduma. Kielelezo cha zamani kimeondoka, jina na cheti hubaki, na wateja wanaendelea kuamini sehemu hiyo hiyo ya mwisho. Uongezaji huunda utambulisho wa pili ambao wateja, kumbukumbu na ubatilishaji wote wanapaswa kuutofautisha.

Tofauti hii si ya urembo. Ikiwa wenyeji wawili hai wanawasilisha cheti kimoja cha lango, mteja hawezi kuwatofautisha, wala njia ya ukaguzi haiwezi, na ubatilishaji wa cheti hicho huondoa wote wawili kwa pamoja. Hiyo inaweza kuwa ndiyo hasa inayotafutwa na muundo wa makusudi wa upatikanaji wa juu, na ni nadra kuwa ndiyo inayokusudiwa na nakala ya haraka ya taswira.

Kwa hiyo uamuzi wa kwanza ni sentensi, iliyoandikwa kabla taswira haijaondoka kwenye mwenyeji wa ujenzi: nakala hii inarejesha lango A, au nakala hii inakuwa lango B. Kila kitu baada ya hapo ni uhasibu dhidi ya sentensi hiyo. Ikiwa hakuna anayeweza kuiandika, nakala haiko tayari kujengwa.

Vipengele vinavyoweza kutumika tena, utambulisho na mamlaka, hali ya usambazaji

Kikapu kinachoweza kutumika tena ni kile rahisi: vifurushi, mipangilio iliyokaguliwa isiyo na siri, violezo vya huduma, mipangilio ya uimarishaji. Taswira ni nzuri kweli katika hili, na inaweza kuzalishwa upya bila kikomo.

Kikapu cha utambulisho na mamlaka ni mahali nakala zinapokosea. Ufunguo wa faragha na cheti cha lango humtambulisha lango hilo kwa kila mteja. Ufunguo wa kusaini wa mamlaka ya vyeti ni kitu tofauti chenye nguvu tofauti: hutoa utambulisho. Kuamini mtoaji haimaanishi kila lango jipya linahitaji uwezo wa kutoa, na kutuma ufunguo wa kusaini ndani ya taswira kunampa uwezo huo kila kitu kinachoweza kusoma taswira.

Kikapu cha hali ya usambazaji ni kile ambacho watu husahau kwa sababu kinaonekana kama mipangilio. Anwani za kusikiliza, mabwawa ya anwani, njia zilizosukumwa, mipangilio ya kitatuzi na muunganisho wa ndani vyote husimba dhana kuhusu mwenyeji wa kwanza. Nodi ya pili inayoiga hizo inaweza kugawa kutoka bwawa ambalo lango lingine tayari linamiliki, au kuwaelekeza wateja kwenye rasilimali inayopatikana karibu na asili pekee.

Nini nodi mpya inapaswa kupokea, na kutoka kwa nani

Nodi inayosimamiwa kwa kujitegemea inapaswa kupokea vitambulisho vyake kupitia mchakato ulioidhinishwa wa usajili, na shughuli ya kusaini ifanyike mahali ufunguo wa kusaini ulipo na si kwenye mwenyeji mpya. Rekodi ni utambulisho upi unaoweza kuondolewa bila kusumbua nodi nyingine; ikiwa jibu ni "wote", muundo una utambulisho mmoja unaojifanya kuwa miwili.

Thamani za mtandao zinastahili matibabu sawa. Chagua bwawa, anwani ya kusikiliza na seti ya njia zilizosukumwa ambazo hazigongani na lango lililopo, na ziandike kwenye vipengele vya utoaji badala ya taswira. Kipengele kinaweza kukaguliwa; taswira haiwezi.

Kuna hali ya kati halali. Muundo unaotumika wa urejeshaji au urudufishaji unaweza kwa makusudi kuhifadhi utambulisho mmoja wa kimantiki wa huduma kwenye wenyeji, pamoja na ufikiaji unaodhibitiwa wa nakala ya zamani na mpango wa mzunguko. Huo ni uamuzi wenye mmiliki, si chaguo la msingi linalotokea kwa sababu taswira ilikuwa rahisi.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Amri ya kwanza inakuambia ni utambulisho upi nodi inawasilisha kwa kweli na nani alisaini. Ya pili ni orodha ya mwanzo, si uthibitisho: nyenzo za faragha zinaweza kuishi nje ya saraka hiyo, ndani ya hifadhidata ya programu, au kwenye tabaka la picha ambalo mfumo wa faili unaoendesha hauonyeshi tena.

Nini nakala ya taswira hubeba kwa utulivu

Kufuta faili kutoka toleo jipya zaidi la taswira hakuito kwenye matoleo ya zamani, akiba za tabaka au picha zilizopigwa wakati ilikuwepo. Ndiyo sababu taswira zinazobeba vitambulisho lazima zichukuliwe kama vitu vyenye hisia nyeti katika maisha yao yote, si wakati wa ujenzi pekee.

Kagua yaliyomo kwenye taswira na vipengele vya utoaji kama maswali mawili tofauti. Taswira hujibu "nini kiko ndani ya kazi hii", na vipengele hujibu "kielelezo hiki kitakuwa nini wakati wa kuwasha kwa mara ya kwanza". Taswira safi yenye hati ya kuanzisha inayoleta ufunguo wa pamoja hujibu vyema swali la kwanza na vibaya la pili.

Weka taswira za urejeshaji zilizo na siri kwa njia halali zikiwa zimewekewa watu wanaozihitaji, na rekodi mahali zilipohifadhiwa. Mbadala, taswira iliyo rahisi kwa sababu inafanya kazi bila utoaji wowote, ni taswira hiyo hiyo inayompa yeyote anayeipata utambulisho wa lango. Ni moja tu ya kazi hizo mbili inayoonekana kwenye kumbukumbu ya ujenzi.

Ukaguzi wa uandikishaji kabla ya uzalishaji

Kabla nodi haijapokea trafiki, thibitisha mambo manne: utambulisho inaowasilisha, wateja itakaowapokea, rasilimali inazoruhusiwa kufikia, na njia ya kurudi kwa anwani inazogawa.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

Kisha kagua hali hasi, ambayo hunasa ajali: je, nodi mpya ina ufikiaji wa msimamizi au wa mteja ambao ulikusudiwa asili? Mipangilio iliyonakiliwa inaweza kubeba ingizo la ziada la mteja, njia ya usimamizi iliyorithiwa, au maagizo ya kusukuma ambayo yalikuwa na maana kwenye mwenyeji wa kwanza.

Ikiwa taswira iliyo na siri hai tayari imepita zaidi ya mpaka wake ulioidhinishwa, badilisha vitambulisho na dhibiti nakala. Kuondoa faili kutoka ujenzi wa mwisho si sawa na kustaafu kitambulisho ambacho nakala za zamani bado zinashikilia, na pengo kati ya ukweli huo mbili ndilo dirisha hasa linalohitajika na mshambuliaji.