VPN سرور کی امیج کو اس کی شناخت کاپی کیے بغیر کاپی کرنا

امیج بوٹ ہوتی ہے، سروس شروع ہوتی ہے اور کلائنٹ جڑتے ہیں۔ یہی وہ لمحہ ہے کہ رک کر پوچھا جائے کہ دو بالکل مختلف کارروائیوں میں سے کون سی ابھی ہوئی۔ یا تو نقل پہلے سے موجود ایک منطقی گیٹ وے بحال کر رہی ہے، یا یہ بیڑے میں دوسرا گیٹ وے شامل کر رہی ہے۔ دونوں جائز ہیں، اور شناخت اور رسائی پر ان کے اثرات مختلف ہیں۔ صاف طور پر اٹھنے والی مشین دونوں میں سے کوئی ایک ثابت نہیں کرتی۔

تین شرطیں جواب کا تعین کرتی ہیں، اور وہ اس مواد کی تین ٹوکریاں ہیں جو امیج اٹھا سکتی ہے۔ امیج بننے سے پہلے انہیں الگ کریں، دو بار تعینات ہونے کے بعد نہیں۔

پہلے طے کریں کہ آپ دو میں سے کون سی کارروائی کر رہے ہیں

بحالی ایک سروس شناخت رکھتی ہے۔ پرانا نمونہ چلا گیا، نام اور سند رہتے ہیں، اور کلائنٹ اسی آخری نقطے پر بھروسا کرتے رہتے ہیں۔ اضافہ دوسری شناخت بناتا ہے جسے کلائنٹ، لاگ اور منسوخی سب کو الگ پہچاننا ہوتا ہے۔

یہ فرق محض ظاہری نہیں۔ اگر دو زندہ میزبان ایک ہی گیٹ وے سند پیش کریں، تو کلائنٹ انہیں الگ نہیں کر سکتا، آڈٹ سراغ بھی نہیں، اور اس سند کی منسوخی دونوں کو ایک ساتھ ہٹا دیتی ہے۔ ہو سکتا ہے یہی وہ چیز ہو جو دانستہ اعلی دستیابی کے ڈیزائن کو مطلوب ہو، اور جلدبازی سے بنائی گئی امیج نقل کا ارادہ شاذ و نادر ہی یہ ہوتا ہے۔

اس لیے پہلا فیصلہ ایک جملہ ہے، جو امیج کے بلڈ میزبان سے نکلنے سے پہلے لکھا جاتا ہے: یہ نقل گیٹ وے A بحال کرتی ہے، یا یہ نقل گیٹ وے B بنتی ہے۔ اس کے بعد کا سب کچھ اسی جملے کے مقابلے میں حساب ہے۔ اگر کوئی اسے لکھ نہیں سکتا، تو نقل بنانے کے لیے تیار نہیں۔

دوبارہ قابل استعمال ان پٹ، شناخت اور اختیار، تعیناتی کی حالت

دوبارہ قابل استعمال ٹوکری آسان ہے: پیکج، بغیر راز کے جائزہ شدہ ترتیب، سروس ٹیمپلیٹ، سختی کی ترتیبات۔ امیج واقعی اسی میں اچھی ہے، اور اسے بلا حد دوبارہ پیدا کیا جا سکتا ہے۔

شناخت اور اختیار کی ٹوکری وہ جگہ ہے جہاں نقلیں غلط ہوتی ہیں۔ گیٹ وے کی نجی کلید اور سند اس گیٹ وے کو ہر کلائنٹ کے سامنے پہچانتی ہیں۔ سند اتھارٹی کی دستخط کلید مختلف طاقت کی مختلف چیز ہے: یہ شناختیں جاری کرتی ہے۔ جاری کرنے والے پر بھروسا کرنے کا مطلب یہ نہیں کہ ہر نئے گیٹ وے کو جاری کرنے کی صلاحیت درکار ہو، اور دستخط کلید کو امیج کے اندر بھیجنا وہ صلاحیت ہر اس چیز کو دے دیتا ہے جو امیج پڑھ سکتی ہے۔

تعیناتی حالت کی ٹوکری وہ ہے جسے لوگ بھول جاتے ہیں کیونکہ یہ ترتیب جیسی لگتی ہے۔ سننے کے پتے، پتوں کے تالاب، دھکیلے گئے راستے، حل کرنے والے کی ترتیبات اور مقامی انضمام سب پہلے میزبان کے بارے میں مفروضے کوڈ کرتے ہیں۔ انہیں کاپی کرنے والا دوسرا نوڈ کسی ایسے تالاب سے تقسیم کر سکتا ہے جو پہلے سے کسی دوسرے گیٹ وے کی ملکیت ہو، یا کلائنٹ کو ایسے وسیلے کی طرف بھیج سکتا ہے جو صرف اصل کے پاس موجود ہو۔

نئے نوڈ کو کیا دینا چاہیے، اور کس سے

خودمختار طور پر منظم نوڈ کو اپنے اسناد منظور شدہ اندراج کے عمل سے ملنے چاہئیں، اور دستخط کی کارروائی نئے میزبان پر نہیں بلکہ جہاں دستخط کلید ہے وہاں ہونی چاہیے۔ لکھیں کہ کون سی شناخت باقی نوڈ کو متاثر کیے بغیر واپس لی جا سکتی ہے؛ اگر جواب "سب" ہو، تو ڈیزائن میں ایک ہی شناخت ہے جو دو ہونے کا ڈرامہ کرتی ہے۔

نیٹ ورک کی اقدار بھی وہی سلوک مستحق ہیں۔ ایسا تالاب، سننے کا پتہ اور دھکیلے گئے راستوں کا مجموعہ چنیں جو موجودہ گیٹ وے سے نہ ٹکرائے، اور انہیں امیج میں نہیں بلکہ فراہمی کے ان پٹ میں لکھیں۔ ان پٹ قابل جائزہ ہے؛ امیج نہیں۔

ایک جائز درمیانی حالت ہے۔ معاون بحالی یا نقل کا ڈیزائن دانستہ طور پر ایک منطقی سروس شناخت میزبانوں میں رکھ سکتا ہے، پرانی نقل تک محدود رسائی اور گردش کے منصوبے کے ساتھ۔ یہ مالک والا فیصلہ ہے، امیج سہولت بخش تھی اس لیے ہونے والا طے شدہ نہیں۔

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

پہلا حکم بتاتا ہے کہ نوڈ واقعی کون سی شناخت پیش کرتا ہے اور کس نے اس پر دستخط کیے۔ دوسرا ابتدائی فہرست ہے، ثبوت نہیں: نجی مواد اس ڈائریکٹری سے باہر، کسی ایپلیکیشن کے ڈیٹا بیس میں، یا ایسی اسنیپ شاٹ پرت میں رہ سکتا ہے جو چلتی فائل سسٹم اب نہیں دکھاتی۔

امیج کی نقل خاموشی سے کیا اٹھاتی ہے

امیج کے جدید ترین ورژن سے فائل حذف کرنا اسے پرانے ورژنوں، پرت کیش یا اس کے موجود رہنے کے دوران لی گئی اسنیپ شاٹس سے نہیں ہٹاتا۔ اسی لیے اسناد رکھنے والی امیجوں کو پوری زندگی حساس اشیاء سمجھا جانا چاہیے، صرف بننے کے لمحے نہیں۔

امیج کے مواد اور فراہمی کے ان پٹ کو دو الگ سوال سمجھ کر جانچیں۔ امیج "اس نمونے کے اندر کیا ہے" کا جواب دیتی ہے، جبکہ ان پٹ "پہلے بوٹ پر یہ نمونہ کیا بنے گا" کا جواب دیتے ہیں۔ مشترکہ کلید لانے والی بوٹ اسٹرپ اسکرپٹ والی صاف امیج پہلے سوال کا اچھا اور دوسرے کا برا جواب دیتی ہے۔

جائز طور پر راز رکھنے والی بحالی امیجوں کو انہی لوگوں تک محدود رکھیں جنہیں ان کی ضرورت ہے، اور لکھیں کہ وہ کہاں محفوظ ہیں۔ متبادل، یعنی بغیر کسی فراہمی کے کام کرنے کی وجہ سے سہولت بخش امیج، وہی امیج ہے جو اسے پانے والے ہر شخص کو گیٹ وے کی شناخت دے دیتی ہے۔ ان دو کاموں میں سے صرف ایک بلڈ لاگ میں نظر آتا ہے۔

پیداوار سے پہلے داخلے کی جانچ

نوڈ کے ٹریفک لینے سے پہلے چار باتیں یقینی بنائیں: وہ جو شناخت پیش کرتا ہے، جو کلائنٹ قبول کرے گا، جن وسائل تک رسائی کی اجازت ہے، اور جو پتے تقسیم کرتا ہے ان کے لیے واپسی کا راستہ۔

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

پھر منفی حالت جانچیں، جو حادثات پکڑتی ہے: کیا نئے نوڈ کے پاس اصل کے لیے سوچا گیا منتظم یا کلائنٹ رسائی ہے؟ نقل شدہ ترتیب ایک اضافی کلائنٹ اندراج، وراثت میں ملا انتظامی راستہ، یا ایسی پش ہدایت اٹھا سکتی ہے جو پہلے میزبان پر معنی رکھتی تھی۔

اگر زندہ رازوں والی امیج پہلے ہی اپنی منظور شدہ حد سے آگے بڑھ چکی ہے، تو اسناد بدلیں اور نقلوں کو محدود کریں۔ نئی بلڈ سے فائل ہٹانا اس اسناد کو ریٹائر کرنے کے برابر نہیں ہے جو پرانی نقلیں اب بھی رکھتی ہیں، اور ان دو حقیقتوں کے درمیان خلا ہی حملہ آور کو درکار عین وہی کھڑکی ہے۔