VPN சேவையகத்தின் படிமத்தை அதன் அடையாளத்தை நகலெடுக்காமல் நகலெடுத்தல்

படிமம் துவங்குகிறது, சேவை தொடங்குகிறது, வாடிக்கையாளர்கள் இணைகின்றனர். அந்தத் தருணத்தில்தான் நிறுத்தி, மிகவும் வேறுபட்ட இரண்டு செயல்பாடுகளில் எது இப்போது நடந்தது என்று கேட்க வேண்டும். ஒன்று நகல் முன்பு இருந்த ஒரு தர்க்க நுழைவாயிலை மீட்டெடுக்கிறது, அல்லது அது குழுவுக்கு இரண்டாவது நுழைவாயிலைச் சேர்க்கிறது. இரண்டும் செல்லுபடியானவை, அவற்றின் அடையாளம் மற்றும் அணுகலுக்கான விளைவுகள் வேறுபட்டவை. தூய்மையாக எழும் இயந்திரம் இரண்டில் ஒன்றையும் நிரூபிக்காது.

மூன்று நிபந்தனைகள் பதிலைத் தீர்மானிக்கின்றன, அவை ஒரு படிமம் சுமக்கக்கூடிய மூன்று பொருள் கூடைகள். படிமம் கட்டப்படுவதற்கு முன்பே அவற்றைப் பிரிக்கவும், இரண்டு முறை பயன்படுத்தப்பட்ட பிறகு அல்ல.

முதலில் நீங்கள் இரண்டில் எந்தச் செயல்பாட்டைச் செய்கிறீர்கள் என்று முடிவு செய்யுங்கள்

மீட்டெடுப்பு ஒரு சேவை அடையாளத்தைத் தக்கவைக்கிறது. பழைய நிகழ்வு போய்விட்டது, பெயரும் சான்றிதழும் தங்குகின்றன, வாடிக்கையாளர்கள் அதே இறுதிப் புள்ளியை நம்புகின்றனர். சேர்ப்பு இரண்டாவது அடையாளத்தை உருவாக்குகிறது, அதை வாடிக்கையாளர்கள், பதிவுகள் மற்றும் ரத்து அனைவரும் வேறுபடுத்த வேண்டும்.

இந்த வேறுபாடு வெளிப்புறமானது மட்டுமல்ல. இரண்டு உயிருள்ள புரவலர்கள் ஒரே நுழைவாயில் சான்றிதழை வழங்கினால், ஒரு வாடிக்கையாளரால் அவற்றை வேறுபடுத்த முடியாது, தணிக்கைத் தடத்தாலும் முடியாது, அந்தச் சான்றிதழை ரத்து செய்வது இரண்டையும் ஒரே நேரத்தில் நீக்கும். வேண்டுமென்றே வடிவமைக்கப்பட்ட உயர் கிடைக்கும் தன்மை விரும்புவது சரியாக அதுவாக இருக்கலாம், அவசரமாக எடுக்கப்பட்ட படிம நகல் நோக்குவது அரிதாகவே அதுவாக இருக்கும்.

எனவே முதல் முடிவு ஒரு வாக்கியம், படிமம் கட்டுமான புரவலரை விட்டு வெளியேறும் முன்பே எழுதப்பட வேண்டும்: இந்த நகல் நுழைவாயில் A ஐ மீட்டெடுக்கிறது, அல்லது இந்த நகல் நுழைவாயில் B ஆகிறது. அதற்குப் பிறகு உள்ள அனைத்தும் அந்த வாக்கியத்திற்கு எதிரான கணக்கு. யாரும் அதை எழுத முடியவில்லை என்றால், நகல் கட்டுவதற்குத் தயாராக இல்லை.

மீண்டும் பயன்படுத்தக்கூடிய உள்ளீடுகள், அடையாளம் மற்றும் அதிகாரம், பயன்படுத்தல் நிலை

மீண்டும் பயன்படுத்தக்கூடிய கூடை எளியது: தொகுப்புகள், ரகசியங்கள் இல்லாத மீளாய்வு செய்யப்பட்ட உள்ளமைவு, சேவை வார்ப்புருக்கள், கடினப்படுத்தல் அமைப்புகள். படிமம் உண்மையில் திறமையானது இதில்தான், கட்டுப்பாடு இல்லாமல் மீண்டும் உருவாக்க முடியும்.

அடையாளம் மற்றும் அதிகாரக் கூடைதான் நகல்கள் தவறும் இடம். நுழைவாயிலின் தனிப்பட்ட விசையும் சான்றிதழும் அந்த நுழைவாயிலை ஒவ்வொரு வாடிக்கையாளருக்கும் அடையாளப்படுத்துகின்றன. சான்றிதழ் அதிகாரசபையின் கையொப்ப விசை வேறு அதிகாரம் கொண்ட வேறு பொருள்: அது அடையாளங்களை வெளியிடுகிறது. வெளியிடுபவரை நம்புவது என்பது ஒவ்வொரு புதிய நுழைவாயிலுக்கும் வெளியிடும் திறன் தேவை என்று அர்த்தமல்ல, மேலும் கையொப்ப விசையைப் படிமத்தின் உள்ளே அனுப்புவது அந்தத் திறனைப் படிமத்தைப் படிக்கக்கூடிய அனைத்திற்கும் வழங்குகிறது.

பயன்படுத்தல் நிலைக் கூடை மக்கள் மறக்கக்கூடியது, ஏனெனில் அது உள்ளமைவு போலத் தெரிகிறது. கேட்கும் முகவரிகள், முகவரிக் குளங்கள், தள்ளப்பட்ட வழிகள், தீர்வியின் அமைப்புகள் மற்றும் உள்ளூர் ஒருங்கிணைப்பு அனைத்தும் முதல் புரவலர் பற்றிய ஊகங்களைக் குறியாக்குகின்றன. அவற்றை நகலெடுக்கும் இரண்டாவது முனை மற்றொரு நுழைவாயில் ஏற்கனவே வைத்திருக்கும் குளத்திலிருந்து ஒதுக்கலாம், அல்லது அசலுக்கு அருகில் மட்டுமே உள்ள வளத்திற்கு வாடிக்கையாளர்களை அனுப்பலாம்.

புதிய முனைக்கு என்ன வழங்க வேண்டும், யாரிடமிருந்து

தனித்துவமாக நிர்வகிக்கப்படும் முனை அங்கீகரிக்கப்பட்ட பதிவு செயல்முறை மூலம் தனது சொந்தச் சான்றுகளைப் பெற வேண்டும், கையொப்பச் செயல்பாடு புதிய புரவலரில் அல்லாமல் கையொப்ப விசை இருக்கும் இடத்தில் நடைபெற வேண்டும். மற்ற முனைகளைத் தொந்தரவு செய்யாமல் எந்த அடையாளத்தைத் திரும்பப் பெறலாம் என்பதைப் பதிவு செய்யுங்கள்; பதில் "அனைத்தும்" என்றால், வடிவமைப்பில் ஒரு அடையாளமே இரண்டு போல் நடிக்கிறது.

பிணைய மதிப்புகளுக்கும் அதே நடத்தை உரியது. இருக்கும் நுழைவாயிலுடன் மோதாத குளம், கேட்கும் முகவரி மற்றும் தள்ளப்பட்ட வழிகளின் தொகுப்பைத் தேர்ந்தெடுத்து, அவற்றைப் படிமத்தில் அல்லாமல் வழங்கல் உள்ளீடுகளில் எழுதுங்கள். உள்ளீடு மீளாய்வு செய்யக்கூடியது; படிமம் அல்ல.

சட்டபூர்வமான இடைநிலை நிலை உள்ளது. ஆதரவு பெற்ற மீட்பு அல்லது நகல் வடிவமைப்பு வேண்டுமென்றே ஒரு தர்க்க சேவை அடையாளத்தைப் புரவலர்கள் முழுவதும் வைத்திருக்கலாம், பழைய நகலுக்குக் கட்டுப்படுத்தப்பட்ட அணுகல் மற்றும் சுழற்சித் திட்டத்துடன். அது உரிமையாளரைக் கொண்ட முடிவு, படிமம் வசதியாக இருந்ததால் நடக்கும் இயல்புநிலை அல்ல.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

முதல் கட்டளை முனை உண்மையில் எந்த அடையாளத்தை வழங்குகிறது, யார் அதில் கையொப்பமிட்டார் என்பதைச் சொல்கிறது. இரண்டாவது தொடக்கப் பட்டியல், சான்று அல்ல: தனிப்பட்ட பொருள் அந்தக் கோப்பகத்திற்கு வெளியே, ஒரு பயன்பாட்டுத் தரவுத்தளத்திற்குள், அல்லது இயங்கும் கோப்பு முறைமை இனி காட்டாத சிறப்புநிலை அடுக்கில் இருக்கலாம்.

படிமத்தின் நகல் அமைதியாக என்ன சுமக்கிறது

படிமத்தின் புதிய திருத்தத்திலிருந்து ஒரு கோப்பை நீக்குவது அதைப் பழைய திருத்தங்கள், அடுக்கு தேக்ககங்கள் அல்லது அது இருந்தபோது எடுக்கப்பட்ட சிறப்புநிலைகளிலிருந்து நீக்காது. எனவே சான்றுகளைச் சுமக்கும் படிமங்களை அவற்றின் முழு ஆயுட்காலமும் உணர்திறன் பொருட்களாகக் கருத வேண்டும், கட்டப்படும் தருணத்தில் மட்டுமல்ல.

படிமத்தின் உள்ளடக்கத்தையும் வழங்கல் உள்ளீடுகளையும் தனித்தனிக் கேள்விகளாகச் சரிபார்க்கவும். படிமம் "இந்தப் படைப்பின் உள்ளே என்ன இருக்கிறது" என்பதற்குப் பதிலளிக்கிறது, உள்ளீடுகள் "முதல் துவக்கத்தில் இந்த நிகழ்வு என்னவாகும்" என்பதற்குப் பதிலளிக்கின்றன. பகிரப்பட்ட விசையைக் கொண்டுவரும் துவக்க ஸ்கிரிப்ட் கொண்ட தூய்மையான படிமம் முதல் கேள்விக்கு நன்றாகவும் இரண்டாவதற்கு மோசமாகவும் பதிலளிக்கிறது.

சட்டபூர்வமாக ரகசியங்களைக் கொண்ட மீட்புப் படிமங்களை அவை தேவைப்படுபவர்களுக்கு மட்டும் வரம்பிட்டு வைத்திருங்கள், அவை எங்கே சேமிக்கப்படுகின்றன என்பதைப் பதிவு செய்யுங்கள். மாற்று, அதாவது எந்த வழங்கலும் இல்லாமல் செயல்படுவதால் வசதியான படிமம், அதைக் கண்டுபிடிக்கும் யாருக்கும் நுழைவாயிலின் அடையாளத்தைக் கொடுக்கும் அதே படிமம். அந்த இரண்டு பணிகளில் ஒன்று மட்டுமே கட்டுமானப் பதிவில் தெரிகிறது.

உற்பத்திக்கு முன் அனுமதிச் சரிபார்ப்புகள்

முனை போக்குவரத்தை ஏற்கும் முன் நான்கு விஷயங்களை உறுதிப்படுத்துங்கள்: அது வழங்கும் அடையாளம், அது ஏற்கப்போகும் வாடிக்கையாளர்கள், அதற்கு அணுக அனுமதிக்கப்பட்ட வளங்கள், மற்றும் அது விநியோகிக்கும் முகவரிகளுக்கான திரும்பும் பாதை.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

பின்னர் விபத்துகளைப் பிடிக்கும் எதிர்மறை நிலையைச் சரிபார்க்கவும்: புதிய முனையில் அசலுக்காக எண்ணப்பட்ட நிர்வாகி அல்லது வாடிக்கையாளர் அணுகல் உள்ளதா? நகலெடுக்கப்பட்ட உள்ளமைவு கூடுதல் வாடிக்கையாளர் பதிவு, மரபுவழி நிர்வாக வழி, அல்லது முதல் புரவலரில் அர்த்தமுள்ள தள்ளல் உத்தரவைச் சுமக்கலாம்.

உயிருள்ள ரகசியங்களைக் கொண்ட படிமம் ஏற்கனவே அதன் அங்கீகரிக்கப்பட்ட எல்லையைத் தாண்டியிருந்தால், சான்றுகளை மாற்றி நகல்களைக் கட்டுப்படுத்துங்கள். சமீபத்திய கட்டுமானத்திலிருந்து கோப்பை அகற்றுவது பழைய நகல்கள் இன்னும் வைத்திருக்கும் சான்றைப் பணி நீக்கம் செய்வதற்குச் சமமானதல்ல, அந்த இரண்டு உண்மைகளுக்கு இடையிலான இடைவெளியே தாக்குபவருக்குத் தேவையான சரியான சாளரம்.