Nebula het drie lêers nodig: CA, gasheersertifikaat, gasheersleutel

Gee iemand 'n Nebula-gids en hulle sal gewoonlik die hele ding kopieer, insluitend die lêer wat nooit jou werkstasie moet verlaat nie. Die verwarring is verstaanbaar, want die drie lêers in 'n gasheer se PKI-blok lyk soos mekaar en twee daarvan is sertifikate. Elkeen antwoord 'n ander vraag, en net twee daarvan hoort op die nodus. Sorteer hulle volgens rol voordat jy enigiets kopieer.

Drie lêers, drie verskillende take

Die CA-sertifikaat is 'n vertrouensanker: dit sê vir 'n gasheer watter owerhede om te glo wanneer 'n ander gasheer sy identiteit voorlê. Die gasheersertifikaat is die nodus se eie bewys, onderteken deur daardie owerheid. Die gasheersleutel is die pasmaat private helfte, en dit hoort aan presies een masjien. 'n Nodus met die CA-sertifikaat en sy eie paar kan by die overlay aansluit en wys wie hy is. 'n Nodus met iemand anders se sleutel kan ook voorgee dat hy daardie iemand is, en dit is die fout wat hierdie uitleg moet voorkom.

Om 'n werkende gasheergids na 'n tweede masjien te kopieer is dus nie 'n kortpad nie. Dit is 'n duplikaat-identiteit met 'n voorspelbare uitkoms.

Die ondertekeningsleutel reis nooit nie

Die CA-ondertekeningsleutel is nie deel van enige gasheeropstelling nie. Dit skep nuwe identiteite, en wie dit het, kan 'n sertifikaat vir enige overlay-adres en enige groep maak. Eweknieë het net die publieke CA-sertifikaat nodig om handtekeninge te verifieer, so die private helfte het glad geen rol op 'n kliënt nie. Hou dit op die masjien waar sertifikate uitgereik word, en hanteer 'n per ongeluk kopie as 'n voorval, nie as 'n gerief nie.

As verskeie mense sertifikate moet uitreik, gee hulle 'n proses eerder as 'n kopie van die sleutel. 'n Gedeelde ondertekeningsleutel op 'n skootrekenaar is 'n owerheid wat niemand kan oudit of herroep nie.

Wat is binne 'n gasheersertifikaat

'n Gasheersertifikaat bind meer as 'n lêernaam aan 'n sleutel. Dit dra die nodus se overlay-adres, sy naam en sy groepildmaatskap, alles onderteken sodat 'n eweknie kan besluit of hy dit aanvaar. Daarom beteken die hernoeming van 'n gasheer dat 'n nuwe sertifikaat uitgereik moet word, nie dat 'n opstellingsreël geredigeer word nie.

nebula-cert print -path host.crt wys wat werklik uitgereik is. Lees dit voordat jy aanneem dat 'n sertifikaat die adres dra wat jy bedoel het.

Herlaai is nie altyd genoeg nie

Sommige PKI-instellings herlaai op 'n sein, en sommige nie. 'n Sertifikaat wie se overlay-adres verander het is die klassieke geval wat 'n herbegin van die proses nodig het eerder as 'n herlaai.

Bevestig watter paaie die lopende proses werklik oopgemaak het, nie net watter paaie die opstellingslêer noem nie. Verander dan een bewys, verifieer verbinding en logs, en raak eers daarna die volgende aan. 'n Herlaai wat suksesvol lyk terwyl die ou sertifikaat in die geheue bly, lewer 'n wanverhouding wat soos 'n roeteringsprobleem lyk. Herbegin is goedkoop; om 'n identiteit te ontfout wat die helfte van die overlay nog op die ou manier sien, is nie.

Om 'n identiteit te verwyder vereis 'n blokkeerlys

Om 'n verlore of blootgestelde bewys te vervang het twee helftes. Die nuwe sertifikaat herstel toegang, en die ou identiteit moet ophou om aanvaar te word. Dit is afsonderlike bewerkings, en om net die eerste te doen laat die gekompromitteerde bewys geldig.

Die blokkeerlys is 'n lêer wat jy aan gashere versprei, nie iets wat 'n lighthouse op sy eie uitstuur nie. Beplan hoe dit elke nodus bereik, insluitend die wat vandag aflyn is, en teken aan watter vingerafdrukke jy geblokkeer het. Roteer die sleutel op die uitreikmasjien en hou die nuwe sertifikaat se besonderhede by die gasheerrekord. 'n Herroeping wat net op die masjien bestaan wat jy geredigeer het, is nie 'n herroeping nie.