Nebula-bloklys: versprei dit, die vuurtoring sal dit nie doen nie

Die toepassing van 'n bloklysingang is 'n eienskap van die gasheer wat die kontrole doen, nie van die sertifikaat wat gekontroleer word nie. 'n Masjien wat die inskrywing nooit gelaai het nie, bly die identiteit aanvaar, en niks in die handskud waarsku jou dat twee eweknieë nie saamstem nie. Die goedkoop oplossing en die duur oplossing vir een blootgestelde bewysstuk verskil in reikwydte en in omkeerbaarheid, so kies doelbewus. Die afdelings hieronder dek wat die inskrywing doen, waar dit afgelewer moet word, wanneer rotering die beter antwoord is, en hoe om te bewys dat enigeen van die twee gewerk het.

Wat 'n bloklysingang werklik doen

Die PKI-konfigurasie lys vingerafdrukke wat 'n gasheer moet verwerp, selfs al is die sertifikaat geldig onderteken en nie verval nie. Toepassing geskied plaaslik, teen die lys wat daardie gasheer gelaai het toe die diens begin het. Niks omtrent die inskrywing reis binne die sertifikaat nie, so 'n eweknie kan nie die besluit leer uit die bewysstuk wat aan hom gewys word nie. Dit is waarom 'n vuurtoring hier geen rol speel nie: vuurtorings help eweknieë om mekaar te vind en stuur verkeer deur waar 'n direkte pad faal. Hulle is 'n ontdekkings- en deurstuurlaag, nie 'n konfigurasieverspreidingskanaal nie.

Om een masjien op te dateer verander daardie masjien se besluite en laat elke ander eweknie presies soos dit was. 'n Eweknie wat die ondertekenende owerheid vertrou en die inskrywing nooit gesien het nie, het geen rede om enigiets te weier nie. Om herroeping te toets deur na die vuurtoring te kyk, bewys dus niks, want die komponent waarna jy kyk, is nooit gevra om die lys toe te pas nie.

Identifiseer die sertifikaat, nie die toestel nie

Gebruik die vingerafdruk van die bewysstuk wat jy van plan is om te verwerp, want 'n gasheernaam, 'n toestelnaam of 'n huidige adres identifiseer vandag 'n masjien en volgende maand iets anders. Nie een van daardie stringe verskyn in die bloklys nie, en nie een oorleef 'n herinstallasie nie. Druk die sertifikaat, lees die vingerafdruk, en kontroleer dat dit aan die bewysstuk behoort wat uit diens onttrek word eerder as aan sy plaasvervanger. Om albei lêers te lees maak saak wanneer 'n plaasvervanger al uitgereik is, aangesien die ou en nuwe sertifikate 'n naam kan deel en in elke ander veld kan verskil.

Teken aan watter vingerafdruk geblokkeer is en wanneer, sodat 'n latere oudit 'n voltooide verandering van 'n beoogde een kan onderskei. Let ook op wat die inskrywing nie doen nie: dit maak nie die ondertekenende owerheid ongeldig nie, en dit keer nie dat 'n toekomstige sertifikaat van daardie owerheid aanvaar word nie. Om 'n gasheersertifikaat te blokkeer en om 'n gekompromitteerde owerheid te vervang is verskillende bewerkings met verskillende gevolge.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Versprei dit soos enige ander konfigurasie

Behandel die lys as konfigurasie met 'n afleweringsmeganisme eerder as 'n lêer wat iemand wysig wanneer hulle onthou. Stoot die hele lys eerder as 'n delta, sodat 'n gasheer wat 'n vroeëre opdatering gemis het, konvergeer in plaas daarvan om gapings op te hoop. Die Nebula PKI-dokumentasie beveel presies dit aan, en die raad is die moeite werd om letterlik te volg eerder as om dit in 'n handmatige proses te herformuleer.

Bevestig dat die lopende diens die inhoud herlaai het, nie bloot dat die lêer op skyf verander het nie. Volg watter masjiene die verandering toegepas het en hou die uitstaande lys sigbaar tot dit leeg is. 'n Skootrekenaar wat 'n week toegemaak is, is 'n eweknie wat die besluit nooit geleer het nie, en dit kan van 'n netwerk herverbind wat niemand verwag het nie. Teken die afleweringsmetode langs die vingerafdruk aan, want die volgende herroeping hergebruik dit en die eerste een is waar die proses ontfout word.

Bloklys of owerheidrotasie

'n Bloklysingang is smal: een identiteit hou op werk en alles anders gaan voort. Om die ondertekenende owerheid te roteer is breed: elke sertifikaat wat dit uitgereik het, word onvertrou, en elke gasheer het 'n nuwe bewysstuk en 'n nuwe vertrouensanker nodig. Die eerste is 'n gerigte herroeping en die tweede is 'n migrasie, so hulle benodig verskillende goedkeurings en verskillende instandhoudingsvensters. Die tabel plaas die twee langs mekaar op reikwydte, moeite en omkeerbaarheid.

'n Verlore skootrekenaar vra vir die bloklys, want die impakgebied is een identiteit en die verandering is omkeerbaar as jy die verkeerde vingerafdruk geblokkeer het. 'n Gelekte owerheidssleutel vra vir rotering, want die bloklys kan nie help met sertifikate wat nog nie uitgereik is nie. Tussen daardie uiterstes, vra of die blootgestelde bewysstuk enigiets anders kon onderteken het, aangesien 'n owerheid meer as een gasheer is.

Skryf die besluit neer voor 'n voorval, want om onder druk te kies, produseer gewoonlik by verstek die breë opsie. Watter pad jy ook neem, die oorblywende werkitem is identies: bewys dat toepassing op die gashere wat saak maak, plaasgevind het. Om die vingerafdruk en die datum op daardie oomblik aan te teken, is wat die bewys later moontlik maak.

Verifieer die weiering en die res

Verbind vanaf die geblokkeerde identiteit en bevestig die faling, verbind dan vanaf 'n gemagtigde eweknie en bevestig dat dit steeds bereik wat dit nodig het. 'n Verandering wat almal breek, is nie 'n suksesvolle herroeping nie. Doen albei vanaf vars sessies, want gekaste toestand kan die resultaat verberg.

Kontroleer of 'n gevestigde sessie ná die verandering eindig, en teken die gedrag vir jou weergawe en konfigurasie aan in plaas daarvan om te aanvaar dat die wysiging van 'n lêer enigiets beëindig. Die disconnect_invalid-opsie dek kliënte wie se sertifikate verval of ongeldig is, so bevestig hoe dit op jou geval van toepassing is voordat jy daarop staatmaak. As onmiddellike beëindiging 'n vereiste is, toets dit spesifiek en teken aan wat jy waargeneem het. Herhaal dan die toets ná 'n herbegin, want 'n gasheer wat die lys net tot sy volgende herlaai toepas, het 'n afleweringsprobleem wat die eerste toets verberg het. 'n Gesonde vuurtoring sê vir jou dat ontdekking werk, nie dat enige eweknie 'n beleid toegepas het nie.