Raspberry Pi VPN cihazını anahtarını kopyalamadan yeniden kurun

Bir görüntüden bir kez önyükleme yapmak, Pi'yi yeniden kurulabilir bir cihaz yapmaz. Gereken, yeniden uygulayabileceğiniz küçük bir girdi kümesidir: bakımı yapılan bir temel, bildirilmiş bir yapılandırma, uygulamanın kalıcı verileri ve yalnızca o karta ait bir cihaz kimliği. Sonuncuyu atlarsanız her değişim bir kimlik bilgisinin kopyası olur.

Aşağıdaki adımlar bir çalışma sırasıdır, araç önerisi değildir. Bunları ifade edebilen herhangi bir yapılandırma sistemi yeterlidir.

Önce dört girdi türünü listeleyin

Temel görüntü ve paketleri işletim sistemini, mimariyi ve güncellemelerin nereden geldiğini tanımlar; bir görüntü oluşturucu yalnızca adını verdiği araç sizin sürümünüz için hâlâ bakımda ise yardımcı olur. Bildirilmiş yapılandırma, insanın gözden geçirdiği kısımdır: ağ rolleri, hizmet ayarları ve her hizmetin ihtiyaç duyduğu yaşam döngüsü eylemleri. Kalıcı uygulama verileri, hizmetin yeniden üretemediği her şeydir ve bunların konumu ile yedekleme yöntemi görüntüye değil o uygulamaya aittir. Cihaz kimlikleri ve sırlar dördüncü girdidir ve insanların çalışan bir kartı klonlarken unuttuğu tam da budur.

Herhangi bir şeyi yeniden kurmadan önce dört listeyi yazın. Boş satırı olan bir liste henüz vermediğiniz bir karardır.

Sırları depo dışında tutun ve nerede yaşadıklarını söyleyin

Bir depo, gözden geçirilmiş şablonlar ve gizli olmayan yapılandırma için iyi bir yuva, özel VPN anahtarları, yeniden kullanılabilir yönetici kimlik bilgileri ve tanılama arşivleri için kötü bir yuvadır. Bir sır cihazda bulunmak zorundaysa nereden geldiğini, kimin okuyabileceğini ve nasıl döndürüldüğünü kaydedin. Yalnızca tek bir SD kartta yaşayan anahtar tek bir arıza noktasıdır; her karta kopyalanan anahtar ise sahibi olmayan filo çapında bir kimlik bilgisidir. İkisi de bir kurtarma planı değildir.

Test basittir: depo yarın sızsa bir saldırgan ne kazanırdı? Şablonlar ve topoloji notları hayatta kalır. Çalışan bir kimlik kalmaz.

Otomasyon, yeniden çalıştırabildiği şeye sahip olsun

Ansible modeli, yönetilen düğümlerin envanterini oyunlardan, görevlerden, rollerden ve bir görev değişiklik bildirdiğinde tetiklenen işleyicilerden ayrı tutar. Bu yapıyı kullanarak her hizmete tek bir yapılandırma sahibi verin, kabuk geçmişini yeniden oynatmak yerine. İki kez çalıştırılması güvenli işlemleri tercih edin ve değişen bir dosyanın çalışan sürece nasıl ulaştığına bilinçli olarak karar verin. Bir hizmetin başlatıldığını garanti eden görev, onu az önce yeniden yazdığınız yapılandırmayı yeniden yüklemeye zorlamaz.

Yönetimin aşamalarını da ayırın. Önyükleme bağlantısı, rutin yapılandırma ve VPN'e bağlı yönetim üç farklı penceredir ve üçüncüsü, yeniden kurulum altındaki ağı sıfırlarsa kendi erişiminizi kaldırabilir. Bağımsız bir giriş yolu tutun.

Verileri ve kimliği bilerek geri yükleyin

Konteyner birimleri konteynerin yaşam döngüsünden bağımsız olarak kalıcıdır, konteyner içindeki yazılabilir katman ise değildir; bu yüzden bir konteyneri görüntüsünden yeniden oluşturmak uygulamanın kullandığı durumu yeniden oluşturmaz, birim belgelerinin açıkladığı gibi. Cihazın bağlı olduğu birimleri, bağlama noktalarını ve dış hizmetleri kaydedin ve uygulamanın kendi yedekleme ve geri yükleme sürecini kullanın. Hatasız başlayan bir konteyner, veritabanının ve dosyalarının uyuştuğunun kanıtı değildir.

Kimlik için aynı cihazı mı kurtardığınıza yoksa bir yedek mi kaydettiğinize karar verin, çünkü bunlar farklı temizliğe sahip farklı işlemlerdir.

Kimliği başka bir yerde etkinleştirmeden önce eski eşin erişimini uzlaştırın ve ancak ondan sonra yeniden kurulan cihazı yalıtılmış veya kurtarma ortamında test edin. Gerekli verileri, doğru kimliği, sahibi olan bir güncelleme yolunu ve amaçlanan ağ ilkesini kontrol edin.

Önyüklenebilir bir görüntü dört girdiden biridir ve yeniden üretilmesi en kolay olanıdır.