VPN serverining tasvirini uning shaxsiyatini nusxalamasdan nusxalash

Tasvir yuklanadi, xizmat boshlanadi va mijozlar ulanadi. Aynan shu paytda to'xtab, ikkita butunlay boshqacha amaldan qaysi biri yangi sodir bo'lganini so'rash kerak. Yo nusxa avval mavjud bo'lgan bitta mantiqiy darvozani tiklaydi, yo flotga ikkinchi darvozani qo'shadi. Ikkalasi ham qonuniy va ularning shaxsiyat hamda kirishga ta'siri boshqacha. Toza ko'tarilgan mashina ikkalasini ham isbotlamaydi.

Javobni uchta shart hal qiladi va ular tasvir ko'tara oladigan materialning uchta savatidir. Ularni tasvir qurilishidan oldin ajrating, ikki marta joylashtirilgandan keyin emas.

Avval ikkita amaldan qaysi birini bajarayotganingizni hal qiling

Tiklash bitta xizmat shaxsiyatini saqlaydi. Eski nusxa yo'q bo'ldi, nom va sertifikat qoladi, mijozlar esa o'sha oxirgi nuqtaga ishonishda davom etadi. Qo'shish ikkinchi shaxsiyatni yaratadi, uni mijozlar, jurnallar va bekor qilish barchasi farqlashi kerak.

Bu farq faqat tashqi ko'rinish emas. Agar ikkita tirik host bir xil darvoza sertifikatini taqdim etsa, mijoz ularni farqlay olmaydi, audit izi ham, va o'sha sertifikatni bekor qilish ikkalasini bir vaqtda olib tashlaydi. Bu qasddan qilingan yuqori mavjudlik dizayni xohlagan narsa bo'lishi mumkin va shoshilinch tasvir nusxasi ko'zlagan narsa kamdan-kam shu bo'ladi.

Shuning uchun birinchi qaror bitta gap bo'lib, tasvir qurilish hostini tark etishidan oldin yoziladi: bu nusxa A darvozasini tiklaydi yoki bu nusxa B darvozasiga aylanadi. Keyingi hamma narsa shu gapga nisbatan hisob-kitobdir. Agar hech kim uni yozolmasa, nusxa qurishga tayyor emas.

Qayta foydalaniladigan kirishlar, shaxsiyat va vakolat, joylashtirish holati

Qayta foydalaniladigan savat osoni: paketlar, sirsiz ko'rib chiqilgan konfiguratsiya, xizmat shablonlari, qattiqlashtirish sozlamalari. Tasvir aynan shu ishda chindan ham yaxshi va uni cheksiz qayta ishlab chiqarish mumkin.

Shaxsiyat va vakolat savati nusxalar xato qiladigan joydir. Darvozaning shaxsiy kaliti va sertifikati o'sha darvozani har bir mijozga tanitadi. Sertifikat organining imzolash kaliti boshqa kuchga ega boshqa obyekt: u shaxsiyatlarni chiqaradi. Chiqaruvchiga ishonish har bir yangi darvoza chiqarish qobiliyatiga muhtoj degani emas, imzolash kalitini tasvir ichida yuborish esa bu qobiliyatni tasvirni o'qiy oladigan har bir narsaga beradi.

Joylashtirish holati savati odamlar unutadigan savat, chunki u konfiguratsiyaga o'xshaydi. Tinglash manzillari, manzil hovuzlari, surilgan marshrutlar, hal qiluvchi sozlamalari va mahalliy integratsiya barchasi birinchi host haqidagi taxminlarni kodlaydi. Ularni nusxalagan ikkinchi tugun boshqa darvoza egalik qiladigan hovuzdan ajratishi yoki mijozlarni faqat asl nusxa yonida mavjud bo'lgan resursga yo'naltirishi mumkin.

Yangi tugunga nima berilishi kerak va kimdan

Mustaqil boshqariladigan tugun o'z ishonch ma'lumotlarini tasdiqlangan ro'yxatga olish jarayoni orqali olishi va imzolash amali yangi hostda emas, imzolash kaliti joylashgan joyda bajarilishi kerak. Boshqa tugunlarga xalaqit bermasdan qaysi shaxsiyatni qaytarib olish mumkinligini yozib qo'ying; javob "hammasi" bo'lsa, dizaynda ikkita bo'lib ko'rinadigan bitta shaxsiyat bor.

Tarmoq qiymatlari ham xuddi shunday munosabatga loyiq. Mavjud darvoza bilan to'qnashmaydigan hovuz, tinglash manzili va surilgan marshrutlar to'plamini tanlang va ularni tasvirga emas, ta'minlash kirishlariga yozing. Kirishni ko'rib chiqish mumkin; tasvirni emas.

Qonuniy oraliq holat bor. Qo'llab-quvvatlanadigan tiklash yoki replikatsiya dizayni bir mantiqiy xizmat shaxsiyatini hostlar bo'ylab qasddan saqlab turishi mumkin, eski nusxaga boshqariladigan kirish va aylanish rejasi bilan. Bu egasi bor qaror, tasvir qulay bo'lgani uchun yuzaga keladigan sukut emas.

openssl x509 -in /etc/openvpn/server/server.crt -noout -subject -issuer -dates
find /etc/openvpn -name '*.key' -o -name '*.pem' | head -20

Birinchi buyruq tugun aslida qaysi shaxsiyatni taqdim etishini va uni kim imzolaganini aytadi. Ikkinchisi boshlang'ich ro'yxat, isbot emas: maxfiy material o'sha katalogdan tashqarida, ilova ma'lumotlar bazasida yoki ishlab turgan fayl tizimi endi ko'rsatmaydigan oniy nusxa qatlamida bo'lishi mumkin.

Tasvir nusxasi indamay nima olib yuradi

Faylni tasvirning eng yangi tahriridan o'chirish uni eski tahrirlar, qatlam keshlari yoki u mavjud bo'lgan paytda olingan oniy nusxalardan olib tashlamaydi. Shuning uchun ishonch ma'lumotlarini olib yuruvchi tasvirlarga butun umri davomida nozik obyekt sifatida munosabatda bo'lish kerak, faqat qurilayotgan paytda emas.

Tasvir mazmunini va ta'minlash kirishlarini ikkita alohida savol sifatida tekshiring. Tasvir "bu artefakt ichida nima bor" degan savolga javob beradi, kirishlar esa "bu nusxa birinchi yuklanishda nimaga aylanadi" degan savolga. Umumiy kalitni olib keladigan yuklash skripti bo'lgan toza tasvir birinchi savolga yaxshi, ikkinchisiga yomon javob beradi.

Qonuniy ravishda sir saqlovchi tiklash tasvirlarini ularga muhtoj odamlar bilan cheklang va qayerda saqlanishini yozib qo'ying. Muqobil, ya'ni hech qanday ta'minlashsiz ishlagani uchun qulay tasvir, uni topgan har kimga darvoza shaxsiyatini beradigan o'sha tasvirdir. O'sha ikki vazifadan faqat bittasi qurilish jurnalida ko'rinadi.

Ishlab chiqarishdan oldingi qabul tekshiruvlari

Tugun trafikni qabul qilishidan oldin to'rt narsani tasdiqlang: u taqdim etadigan shaxsiyat, qabul qiladigan mijozlar, kirishga ruxsat berilgan resurslar va tarqatadigan manzillar uchun qaytish yo'li.

systemctl status openvpn-server@lab --no-pager
ss -lunp 'sport = :1194'
ip -4 route show table all | grep -F '10.90.'

So'ngra baxtsiz hodisalarni ushlaydigan salbiy holatni tekshiring: yangi tugunda asl uchun mo'ljallangan administrator yoki mijoz kirishi bormi? Nusxalangan konfiguratsiya qo'shimcha mijoz yozuvini, meros qolgan boshqaruv marshrutini yoki birinchi hostda mazmunli bo'lgan push ko'rsatmasini olib yurishi mumkin.

Agar tirik sirlarni o'z ichiga olgan tasvir allaqachon tasdiqlangan chegarasidan chiqib ketgan bo'lsa, ishonch ma'lumotlarini almashtiring va nusxalarni cheklang. Faylni eng so'nggi qurilishdan olib tashlash eski nusxalar hanuz saqlab turgan ishonch ma'lumotlarini iste'moldan chiqarish bilan bir xil emas, va bu ikki fakt orasidagi tafovut hujumchiga kerak bo'lgan aynan o'sha oynadir.