Profile ng OpenVPN sa Git: ano ang tatanggalin bago mag-commit

Ang mga profile ay nagsisilbi sa dalawang layunin nang sabay: itinatala nila ang mga setting ng koneksyon, at nagdadala sila ng gumaganang bundle ng mga kredensyal. Walang sinasabi ang extension ng file tungkol sa kung alin sa dalawa ang hawak mo. Basahin ang nilalaman bago magpasya na kabilang ito sa isang repository.

Ipinapalagay ng mga hakbang sa ibaba na isinasaalang-alang ang isang template ng kliyente para sa kontrol ng bersyon. Isagawa ang mga ito sa pagkakasunod-sunod, at huminto bago mag-commit ng anumang hindi mo maaaring bawiin.

Basahin ang file na ihahanda mo

Magsimula sa aktwal na mga byte, dahil ang profile na tumutukoy sa hiwalay na mga file ay mukhang ibang-iba sa isang naka-embed sa kanila. Hanapin ang mga marker ng bloke ng PEM at ang mga inline na tag na pinangalanang ca, cert, key, tls-auth at tls-crypt, at ang parehong paghahanap ay magpapakita sa iyo ng dalawang kaso. Ang naka-encrypt na pribadong key ay itinuturing pa ring sensitibong materyal, at ang pinagsasaluhang key ng tls-auth o tls-crypt ay kredensyal kahit hindi ito pagkakakilanlan ng isang user. Ilapat ang parehong pagsusuri sa lahat ng inihahanda kasama ng profile, kabilang ang mga archive at setup script na tumutukoy sa isang file ng kredensyal.

Pagkatapos ay tingnan ang inihandang set at hindi ang working tree. Ipinapakita ng git diff --cached kung ano talaga ang lalamanin ng commit, at iyon lang ang bersyon na mahalaga sa desisyong ito.

Magpasya kung ano ang maaaring ipamahagi ng repository

Maaaring magdala ang template ng mga pinagsasaluhang, nasuri na setting at mga pinangalanang placeholder para sa lahat ng natatanggap ng isang tao sa pagpapatala. Ang hindi nito madadala ay isang magagamit na pagkakakilanlan, dahil ang repository ay ipinamamahagi sa lahat ng makakabasa nito, kabilang ang automation. Ang pribadong repository ay nagpapaliit ng madla nang hindi binabago ang tanong kung awtorisado ang bawat mambabasa para sa kredensyal na iyon.

Pinipigilan ng panuntunan ng pagwawalang-bahala ang mga pagdaragdag sa hinaharap at walang ginagawa sa naitala na. Sulit na isapuso ang asimetriyang iyon bago ang unang commit at hindi pagkatapos ng ikasampu. Ang mga pangalan at address ng imprastruktura ay hiwalay na pagpapasya: hindi sila mga lihim ng pagpapatotoo, ngunit maaari silang magbunyag ng higit sa balak ng isang koponan na ilathala. Gawin ang desisyong iyon nang tahasan sa halip na uriin ang bawat linya bilang password o pampubliko.

Kung nasa kasaysayan na ang materyal

Ang pagtanggal ng linya sa isang bagong commit ay nag-iiwan sa lumang bersyon na buo para sa sinumang kumukuha nito. Ituring ang pagkakalantad na totoo: tukuyin ang uri ng kredensyal, pagkatapos ay hanapin ang awtoridad na makapagpapawalang-bisa nito. Bawiin ang sertipiko ng kliyente at muling bubuo ang listahan ng pagbawi; ang pinagsasaluhang key ng control channel ay pinapalitan sa server at sa bawat kliyenteng gumagamit nito.

Magkaiba nang malaki ang saklaw ng epekto ng dalawa, at dapat sabihin ng plano kung alin ang isinasagawa mo bago magsimula. Hanapin ang commit na nagpasok ng materyal gamit ang isang paghahanap na tulad ng git log --all -S 'BEGIN PRIVATE KEY', upang ang saklaw ng paglilinis ay alam at hindi hinulaan. Ang clone ng isang kasamahan o fork ay maaaring may luma nang bagay, kaya ang pagbawi ay nauuna at ang paglilinis ay sumusunod.

Linisin lamang pagkatapos mapigil

Binabago ng muling pagsulat ng kasaysayan ang bawat commit pagkatapos ng ine-edit mo, kaya kailangan muna ng pagsang-ayon ng may-ari ng repository at ng mga taong nagtatrabaho rito. Ang sapilitang push ay hindi pag-aayos; ito ay kaganapan ng koordinasyon na may sariling panganib ng pag-urong. Iiskedyul ito, kumuha ng backup, at sabihin sa koponan kung kailan ito mangyayari.

Pagkatapos, i-verify ang kasalukuyang tree at ang natitirang kasaysayan sa halip na magtiwala sa buod ng tool.

Itago ang resulta bilang dalawang artifact: ang template na ligtas ibahagi, at ang imbentaryo ng mga kredensyal na inisyu sa proseso ng pagpapatala. Wala sa dalawa ang nangangailangan ng magagamit na pagkakakilanlan na manirahan sa repository.

Ang paghahati na iyon ang tunay na pag-aayos, at ito ay nananatili kahit lampasan pa ng susunod na taong gustong mag-commit ng profile.