قائمة الحظر في Nebula: وزّعها، فالمنارة لن تفعل ذلك

إنّ تطبيق قائمة الحظر خاصيةٌ للمضيف الذي يقوم بالفحص، لا للشهادة التي تُفحص. فالآلة التي لم تُحمّل الإدخال تظلّ تقبل الهوية، ولا شيء في المصافحة ينبّهك إلى أنّ نظيرين غير متفقين. الإصلاح الرخيص والإصلاح المكلف لبيان اعتماد واحد مكشوف يختلفان في المدى وفي قابلية التراجع، فاختر عن قصد. تتناول الأقسام التالية ما يفعله الإدخال، وأين يجب تسليمه، ومتى يكون التدوير هو الجواب الأفضل، وكيف تُثبت أنّ أيًّا منهما نجح.

ما يفعله إدخال قائمة الحظر فعلاً

يسرد إعداد PKI بصماتٍ يجب على المضيف رفضها رغم أنّ الشهادة موقَّعة بشكل صحيح وغير منتهية. يجري التطبيق محليًّا، مقابل القائمة التي حمّلها ذلك المضيف عند بدء الخدمة. ولا شيء من الإدخال يسافر داخل الشهادة، فلا يستطيع النظير أن يتعلّم القرار من بيان الاعتماد الذي يُعرض عليه. ولهذا لا دور للمنارة هنا: فالمنارات تساعد النظائر على أن يجد بعضها بعضًا وعلى تمرير الحركة حيث تفشل المسار المباشر. إنها طبقة اكتشاف وتمرير، لا قناة لتوزيع الإعداد.

تحديث آلة واحدة يغيّر قرارات تلك الآلة ويترك كل نظير آخر كما كان تمامًا. والنظير الذي يثق بسلطة التوقيع ولم يرَ الإدخال قطّ ليس لديه سبب لرفض أي شيء. لذا فإنّ اختبار الإبطال بمراقبة المنارة لا يثبت شيئًا، لأنّ المكوّن الذي تراقبه لم يُطلب منه قطّ تطبيق القائمة.

حدّد الشهادة، لا الجهاز

استخدم بصمة بيان الاعتماد الذي تنوي رفضه، لأنّ اسم المضيف أو تسمية الجهاز أو العنوان الحالي يحدّد آلةً اليوم وشيئًا آخر الشهر القادم. ولا يظهر أيٌّ من تلك السلاسل في قائمة الحظر، ولا يبقى أيٌّ منها بعد إعادة التثبيت. اطبع الشهادة، واقرأ البصمة، وتحقّق من أنها تنتمي إلى بيان الاعتماد الذي يُسحب لا إلى بديله. وقراءة الملفّين معًا مهمة عندما يكون البديل قد صدر بالفعل، إذ قد تشترك الشهادتان القديمة والجديدة في اسم وتختلفان في كل حقل آخر.

سجّل أيّ بصمة حُجبت ومتى، حتى يفصل تدقيق لاحق بين تغيير مكتمل وتغيير مقصود. ولاحظ أيضًا ما لا يفعله الإدخال: فهو لا يُبطل سلطة التوقيع، ولا يمنع قبول شهادة مستقبلية من تلك السلطة. حجب شهادة مضيف واستبدال سلطة مخترَقة عمليتان مختلفتان بعواقب مختلفة.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

وزّعها مثل أي إعداد آخر

تعامل مع القائمة كإعداد له آلية تسليم، لا كملفّ يعدّله أحدهم عندما يتذكّر. ادفع القائمة كاملة بدلًا من فرقٍ، حتى يتقارب المضيف الذي فاته تحديث سابق بدلًا من أن يراكم ثغرات. وتوصي وثائق Nebula PKI بذلك تمامًا، والنصيحة جديرة بالاتّباع حرفيًّا بدلًا من إعادة صياغتها في عملية يدوية.

تأكّد من أنّ الخدمة العاملة أعادت تحميل المحتوى، لا مجرّد أنّ الملفّ على القرص تغيّر. تتبّع الآلات التي طبّقت التغيير وأبقِ قائمة المعلّق ظاهرة حتى تفرغ. الحاسوب المحمول المغلق لأسبوع هو نظير لم يتعلّم القرار قطّ، وقد يعيد الاتصال من شبكة لم يتوقعها أحد. سجّل طريقة التسليم بجانب البصمة، لأنّ الإبطال التالي يعيد استخدامها والأول هو حيث تُنقّح العملية.

قائمة الحظر أم تدوير السلطة

إدخال قائمة الحظر ضيّق: هوية واحدة تتوقف وكل ما عداها يستمر. أما تدوير سلطة التوقيع فبالغ الاتساع: كل شهادة أصدرتها تصبح غير موثوقة، ويحتاج كل مضيف إلى بيان اعتماد جديد وإلى مرجع ثقة جديد. الأول إبطال موجَّه والثاني ترحيل، فلكلٍّ منهما موافقات ونوافذ صيانة مختلفة. ويضع الجدول الاثنين جنبًا إلى جنب في المدى والجهد وقابلية التراجع.

الحاسوب المحمول المفقود يستدعي قائمة الحظر، لأنّ نطاق الأثر هوية واحدة والتغيير قابل للتراجع إن حجبت البصمة الخطأ. ومفتاح السلطة المسرَّب يستدعي التدوير، لأنّ قائمة الحظر لا تستطيع مساعدة الشهادات التي لم تصدر بعد. وبين هذين الطرفين، اسأل إن كان بيان الاعتماد المكشوف قد وقّع شيئًا آخر، لأنّ السلطة أكثر من مضيف واحد.

اكتب القرار قبل وقوع حادث، لأنّ الاختيار تحت الضغط يميل إلى إنتاج الخيار الواسع تلقائيًّا. وأيًّا كان المسار الذي تسلكه، فبند العمل المتبقي واحد: إثبات أنّ التطبيق جرى على المضيفين المهمّين. وتسجيل البصمة والتاريخ في تلك اللحظة هو ما يجعل الإثبات ممكنًا لاحقًا.

تحقّق من الرفض ومن الباقي

اتصل من الهوية المحجوبة وأكّد الفشل، ثم اتصل من نظير مصرَّح له وأكّد أنه ما يزال يصل إلى ما يحتاجه. التغيير الذي يكسر الجميع ليس إبطالًا ناجحًا. نفّذ الأمرين من جلسات جديدة، لأنّ الحالة المخزّنة قد تخفي النتيجة.

تحقّق مما إذا كانت جلسة قائمة تنتهي بعد التغيير، وسجّل السلوك لنسختك وإعدادك بدلًا من افتراض أنّ تحرير ملفّ ينهي أي شيء. ويغطّي خيار disconnect_invalid العملاء الذين انتهت شهاداتهم أو صارت غير صالحة، فأكّد كيف ينطبق على حالتك قبل الاعتماد عليه. إذا كان الإنهاء الفوري مطلبًا، فاختبره تحديدًا وسجّل ما لاحظته. ثم أعد الاختبار بعد إعادة تشغيل، لأنّ المضيف الذي يطبّق القائمة حتى إعادة تشغيله التالية لديه مشكلة تسليم أخفاها الاختبار الأول. والمنارة السليمة تخبرك بأنّ الاكتشاف يعمل، لا بأنّ أيّ نظير طبّق سياسة.