VPN సర్వర్ ఇమేజ్‌ను దాని గుర్తింపును క్లోన్ చేయకుండా క్లోన్ చేయడం

ఇమేజ్ బూట్ అవుతుంది, సేవ ప్రారంభమవుతుంది మరియు క్లయింట్లు కనెక్ట్ అవుతారు. అదే క్షణం ఆగి, రెండు చాలా భిన్నమైన కార్యకలాపాలలో ఏది ఇప్పుడే జరిగిందో అడగాలి. ఒకటి నకలు మునుపు ఉన్న ఒక తార్కిక గేట్‌వేను పునరుద్ధరిస్తోంది, లేదా అది సమూహానికి రెండవ గేట్‌వేను జోడిస్తోంది. రెండూ చెల్లుబాటు అయినవి, గుర్తింపు మరియు ప్రాప్యతపై వాటి ప్రభావాలు వేర్వేరు. పరిశుభ్రంగా లేచే యంత్రం రెండింటిలో దేనినీ నిరూపించదు.

మూడు షరతులు సమాధానాన్ని నిర్ణయిస్తాయి, అవి ఒక ఇమేజ్ మోయగల పదార్థం యొక్క మూడు బుట్టలు. ఇమేజ్ నిర్మించబడే ముందే వాటిని వేరు చేయండి, రెండుసార్లు మోహరించిన తర్వాత కాదు.

మొదట మీరు రెండింటిలో ఏ కార్యకలాపం చేస్తున్నారో నిర్ణయించండి

పునరుద్ధరణ ఒక సేవా గుర్తింపును కలిగి ఉంటుంది. పాత ఇన్‌స్టాన్స్ వెళ్ళిపోయింది, పేరు మరియు ధృవపత్రం ఉంటాయి, క్లయింట్లు అదే ముగింపు బిందువును విశ్వసిస్తూనే ఉంటారు. జోడింపు రెండవ గుర్తింపును సృష్టిస్తుంది, దాన్ని క్లయింట్లు, లాగ్‌లు మరియు రద్దు అన్నీ వేరు చేయాలి.

ఈ భేదం కేవలం దృశ్యమానమైనది కాదు. రెండు సజీవ హోస్ట్‌లు ఒకే గేట్‌వే ధృవపత్రాన్ని ప్రదర్శిస్తే, క్లయింట్ వాటిని వేరు చేయలేడు, ఆడిట్ ట్రైల్ కూడా చేయలేదు, ఆ ధృవపత్రాన్ని రద్దు చేయడం రెండింటినీ ఒకేసారి తొలగిస్తుంది. ఉద్దేశపూర్వకంగా రూపొందించిన అధిక లభ్యతా నమూనా కోరుకునేది అదే కావచ్చు, ఆత్రుతగా తీసుకున్న ఇమేజ్ నకలు ఉద్దేశించేది అరుదుగా అదే.

కాబట్టి మొదటి నిర్ణయం ఒక వాక్యం, ఇమేజ్ నిర్మాణ హోస్ట్‌ను విడిచిపెట్టే ముందే వ్రాయాలి: ఈ నకలు గేట్‌వే A ను పునరుద్ధరిస్తుంది, లేదా ఈ నకలు గేట్‌వే B అవుతుంది. ఆ తర్వాత జరిగేదంతా ఆ వాక్యానికి వ్యతిరేకంగా లెక్క. ఎవరూ దాన్ని వ్రాయలేకపోతే, నకలు నిర్మించడానికి సిద్ధంగా లేదు.

పునర్వినియోగ ఇన్‌పుట్‌లు, గుర్తింపు మరియు అధికారం, మోహరింపు స్థితి

పునర్వినియోగ బుట్ట సులభమైనది: ప్యాకేజీలు, రహస్యాలు లేని సమీక్షించిన కాన్ఫిగరేషన్, సేవా టెంప్లేట్లు, కఠినీకరణ సెట్టింగ్‌లు. ఇమేజ్ నిజంగా దీనిలో బాగుంటుంది, పరిమితి లేకుండా పునరుత్పత్తి చేయవచ్చు.

గుర్తింపు మరియు అధికారం బుట్టే నకళ్ళు తప్పు జరిగే చోటు. గేట్‌వే యొక్క ప్రైవేట్ కీ మరియు ధృవపత్రం ఆ గేట్‌వేను ప్రతి క్లయింట్‌కు గుర్తిస్తాయి. ధృవపత్ర అధికార సంస్థ యొక్క సంతకం కీ వేరే శక్తి ఉన్న వేరే వస్తువు: అది గుర్తింపులను జారీ చేస్తుంది. జారీ చేసేవారిని విశ్వసించడం అంటే ప్రతి కొత్త గేట్‌వేకు జారీ చేసే సామర్థ్యం అవసరమని కాదు, సంతకం కీని ఇమేజ్ లోపల పంపడం ఆ సామర్థ్యాన్ని ఇమేజ్ చదవగల ప్రతిదానికీ ఇస్తుంది.

మోహరింపు స్థితి బుట్ట ప్రజలు మరచిపోయేది, ఎందుకంటే అది కాన్ఫిగరేషన్ లా కనిపిస్తుంది. వినడానికి చిరునామాలు, చిరునామా కొలనులు, నెట్టబడిన మార్గాలు, పరిష్కర్త సెట్టింగ్‌లు మరియు స్థానిక అనుసంధానం అన్నీ మొదటి హోస్ట్ గురించి ఊహలను సంకేతీకరిస్తాయి. వాటిని నకలు చేసే రెండవ నోడ్ మరో గేట్‌వే ఇప్పటికే కలిగి ఉన్న కొలని నుండి కేటాయించవచ్చు, లేదా అసలు పక్కన మాత్రమే ఉన్న వనరుకు క్లయింట్లను పంపవచ్చు.

కొత్త నోడ్‌కు ఏమి ఇవ్వాలి, ఎవరి నుండి

స్వతంత్రంగా నిర్వహించే నోడ్ తన సొంత ఆధారాలను ఆమోదించిన నమోదు ప్రక్రియ ద్వారా పొందాలి, సంతకం కార్యకలాపం కొత్త హోస్ట్‌పై కాకుండా సంతకం కీ ఉన్న చోట జరగాలి. ఇతర నోడ్‌లను ఇబ్బంది పెట్టకుండా ఏ గుర్తింపును ఉపసంహరించవచ్చో నమోదు చేయండి; సమాధానం "అన్నీ" అయితే, నమూనాలో ఒకే గుర్తింపు రెండుగా నటిస్తోంది.

నెట్‌వర్క్ విలువలకు కూడా అదే ప్రవర్తన దక్కుతుంది. ఉన్న గేట్‌వేతో ఢీకొనని కొలను, వినడానికి చిరునామా మరియు నెట్టబడిన మార్గాల సమితిని ఎంచుకోండి, వాటిని ఇమేజ్‌లో కాకుండా ప్రొవిజనింగ్ ఇన్‌పుట్‌లలో వ్రాయండి. ఇన్‌పుట్ సమీక్షించదగినది; ఇమేజ్ కాదు.

చట్టబద్ధమైన మధ్యస్థ సందర్భం ఉంది. మద్దతు ఉన్న పునరుద్ధరణ లేదా ప్రతిరూప నమూనా ఉద్దేశపూర్వకంగా ఒక తార్కిక సేవా గుర్తింపును హోస్ట్‌ల అంతటా ఉంచుకోవచ్చు, పాత నకలుకు నియంత్రిత ప్రాప్యత మరియు భ్రమణ ప్రణాళికతో. అది యజమాని ఉన్న నిర్ణయం, ఇమేజ్ సౌకర్యవంతంగా ఉందని జరిగే డిఫాల్ట్ కాదు.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

మొదటి ఆదేశం నోడ్ వాస్తవంగా ఏ గుర్తింపును ప్రదర్శిస్తుంది మరియు ఎవరు సంతకం చేశారో చెబుతుంది. రెండవది ప్రారంభ జాబితా, రుజువు కాదు: ప్రైవేట్ పదార్థం ఆ డైరెక్టరీ బయట, ఏదైనా అప్లికేషన్ డేటాబేస్ లోపల, లేదా నడుస్తున్న ఫైల్ సిస్టమ్ ఇక చూపించని స్నాప్‌షాట్ పొరలో ఉండవచ్చు.

ఇమేజ్ నకలు నిశ్శబ్దంగా ఏమి మోస్తుంది

ఇమేజ్ యొక్క కొత్త సవరణ నుండి ఫైల్‌ను తొలగించడం దాన్ని పాత సవరణలు, పొర కాష్‌లు లేదా అది ఉన్నప్పుడు తీసుకున్న స్నాప్‌షాట్‌ల నుండి తొలగించదు. అందుకే ఆధారాలు మోసే ఇమేజ్‌లను వాటి పూర్తి జీవితకాలంలో సున్నితమైన వస్తువులుగా పరిగణించాలి, నిర్మించే క్షణంలో మాత్రమే కాదు.

ఇమేజ్ విషయాన్ని మరియు ప్రొవిజనింగ్ ఇన్‌పుట్‌లను వేర్వేరు ప్రశ్నలుగా తనిఖీ చేయండి. ఇమేజ్ "ఈ కళాఖండం లోపల ఏమి ఉంది" అని సమాధానమిస్తుంది, ఇన్‌పుట్‌లు "మొదటి బూట్‌లో ఈ ఇన్‌స్టాన్స్ ఏమవుతుంది" అని సమాధానమిస్తాయి. పంచుకున్న కీని తెచ్చే బూట్‌స్ట్రాప్ స్క్రిప్ట్ ఉన్న పరిశుభ్రమైన ఇమేజ్ మొదటి ప్రశ్నకు బాగా, రెండవదానికి దుర్బలంగా సమాధానమిస్తుంది.

చట్టబద్ధంగా రహస్యాలు ఉన్న పునరుద్ధరణ ఇమేజ్‌లను అవి అవసరమైన వారికి మాత్రమే పరిమితం చేయండి, అవి ఎక్కడ నిల్వ ఉన్నాయో నమోదు చేయండి. ప్రత్యామ్నాయం, అంటే ఎలాంటి ప్రొవిజనింగ్ లేకుండా పనిచేస్తుంది కాబట్టి సౌకర్యవంతమైన ఇమేజ్, దాన్ని కనుగొన్న ఎవరికైనా గేట్‌వే గుర్తింపును ఇచ్చే అదే ఇమేజ్. ఆ రెండు పనులలో ఒకటి మాత్రమే నిర్మాణ లాగ్‌లో కనిపిస్తుంది.

ఉత్పత్తికి ముందు ప్రవేశ తనిఖీలు

నోడ్ ట్రాఫిక్ తీసుకునే ముందు నాలుగు విషయాలను నిర్ధారించండి: అది ప్రదర్శించే గుర్తింపు, అది అంగీకరించే క్లయింట్లు, దానికి చేరుకోవడానికి అనుమతి ఉన్న వనరులు, మరియు అది పంపిణీ చేసే చిరునామాలకు తిరిగి వెళ్ళే మార్గం.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

తర్వాత ప్రమాదాలను పట్టుకునే ప్రతికూల సందర్భాన్ని తనిఖీ చేయండి: కొత్త నోడ్‌లో అసలు కోసం భావించిన నిర్వాహక లేదా క్లయింట్ ప్రాప్యత ఉందా? నకలు చేసిన కాన్ఫిగరేషన్ అదనపు క్లయింట్ నమోదు, వారసత్వంగా వచ్చిన నిర్వహణ మార్గం, లేదా మొదటి హోస్ట్‌పై అర్థవంతంగా ఉన్న పుష్ ఆదేశాన్ని మోయవచ్చు.

సజీవ రహస్యాలు ఉన్న ఇమేజ్ ఇప్పటికే దాని ఆమోదిత హద్దును దాటి ఉంటే, ఆధారాలను మార్చి నకళ్ళను నియంత్రించండి. తాజా నిర్మాణం నుండి ఫైల్‌ను తొలగించడం పాత నకళ్ళు ఇంకా కలిగి ఉన్న ఆధారాన్ని పదవీ విరమణ చేయడంతో సమానం కాదు, ఆ రెండు వాస్తవాల మధ్య అంతరమే దాడి చేసేవాడికి అవసరమైన సరైన కిటికీ.