إعادة تحميل شهادة Nebula لم تغيّر عنوان IP: إليك السبب
إعادة التحميل تقرأ بيانات اعتماد المضيف من جديد فقط عندما يبقى عنوان الشبكة التراكبية كما هو. تغيير العنوان يعني إعادة تشغيل وتغييرًا في الشبكة، وليس إعادة محاولة.
تُصدر شهادة مضيف جديدة بعنوان تراكبي مختلف، وتنسخها فوق الملف القديم، وترسل إعادة التحميل، فيبقى المضيف يستجيب على العنوان الذي كان لديه من قبل. ردّ الفعل المعتاد هو افتراض أن إعادة التحميل فشلت أو أن الملف الخاطئ هو ما قُرئ. عادة لا يحدث أي منهما: فقد أبقى التشغيل نفسه على الهوية التي كانت لديه عن قصد، لأن الاستبدال غيّر شيئًا لا تستطيع إعادة التحميل تطبيقه.
دعم إعادة تحميل PKI في Nebula موثّق مع هذا الحد، ومن السهل تفويته عندما تُظهر الوثائق نفسها أن إعادة التحميل تعمل مع تغييرات أخرى.
ما تعيد إعادة التحميل قراءته فعلاً
شهادة المضيف ليست مجرد بيانات اعتماد بالمعنى الذي يكون فيه مفتاح SSH كذلك. فهي تحمل العنوان التراكبي واسم المضيف وعضويات المجموعات ونافذة صلاحية، وكل ذلك مرتبط ببعضه بواسطة توقيع جهة التصديق. ويستخدم البرنامج الخفي هذا المحتوى الموقّع ليقرر كيف يقدّم نفسه وأي القواعد تنطبق عليه.
تتيح إعادة التحميل للعملية التقاط بيانات اعتماد مجدّدة دون إسقاط أنفاقها، وهذا مهم للتدوير الروتيني: العنوان نفسه، والاسم نفسه، والمجموعات نفسها، وانتهاء صلاحية لاحق. القيد هو أن تبقى الهوية كما هي. غيّر العنوان التراكبي ولن يستطيع مسار إعادة التحميل تطبيقه، لأن العنوان جزء مما التزمت به النسخة العاملة بالفعل.
إذن فالسلوك الذي رأيته هو الحد الموثّق وهو يؤدي وظيفته، لا فشل صامت. الملف على القرص جديد، والهوية في الذاكرة قديمة، وليس للعملية طريقة مدعومة للتوفيق بين ذلك الفرق دون إعادة تشغيل.
العنوان والاسم والمجموعات هوية واحدة
من المفيد أن تنظر إلى الشهادة كسجل واحد لا كمجموعة حقول يمكنك تعديلها باستقلالية. نقل العنوان ليس مثل تغيير تفضيل، لأن العنوان يظهر في إعدادات الأقران لدى المضيفات الأخرى، وفي ارتباطات الخدمات، وفي السياسات المكتوبة ضد الهوية.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
تستحق المجموعات سطرًا خاصًا بها لأنها تسبب نسخة أهدأ من الارتباك نفسه. المضيف الذي يحتفظ بعنوانه لكنه ينتقل بين المجموعات قد يصل إلى خدمات مختلفة بعد إعادة التشغيل، والاختبار الذي يكتفي بإرسال ping إلى العنوان القديم سيبدو سليمًا تمامًا بينما تغيّرت قرارات الوصول من تحته. افحص خدمة واحدة محكومة بقاعدة، لا مجرد قابلية الوصول. هذا هو الفرق بين تأكيد النفق وتأكيد السياسة.
قارن الشهادة المحمّلة بالبديل
قبل أن تفترض أن البرنامج الخفي تجاهل الملف، اقرأ كليهما. اطبع الشهادة التي تنوي تحميلها وتأكد من الحقول التي تظن أنك غيّرتها، ثم تأكد من أن الإعدادات العاملة تشير إلى ذلك المسار لا إلى نسخة في مكان آخر.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)وسائط سطر الأوامر للعملية أهم مما يتوقع الناس. وحدة تمرّر -config /etc/nebula/config.yml تقرأ مدخل pki.cert في ذلك الملف، وشهادة مثبتة في مجلد مؤقت لا تؤثر في شيء. افحص المسار في سطر الأوامر العامل، لا المسار في الوثائق التي اتبعتها. إن اختلف الاثنان فقد وجدت المشكلة دون أن تلمس الشهادة إطلاقًا.
إن كانت الشهادة الجديدة تحمل عنوانًا مختلفًا واحتفظت العملية بالعنوان القديم، فلديك الآن تفسير لا لغز. أعد تشغيلها إن كان ذلك مقبولًا، وتعامل مع تغيير العنوان كتغيير شبكي مخطط لا عرضي.
تغيير العنوان تغيير في الشبكة
خطّط له كما تخطط لنقل جهاز. ربما ثبّتت مضيفات أخرى العنوان القديم في إعداداتها، وربما ترتبط خدمات به صراحةً، وربما كُتبت قواعد جدار حماية ضده. تغيير الشهادة ينقل المضيف، ونقل المضيف يبطل افتراضات في أماكن أخرى.
أبقِ مسار إدارة ثانيًا متاحًا أثناء ذلك، لأن اتصال الشبكة التراكبية قد يكون هو ما تقاطعه. إجراء ذلك عبر النفق الذي أنت على وشك كسره هو الطريقة الكلاسيكية لتحويل تغيير مدته خمس دقائق إلى زيارة ميدانية.
كون إعادة التشغيل مقبولة يتوقف على ما يفعله المضيف، وهي مسألة جدولة لا مسألة تقنية. وما ليس اختياريًا هو الإقرار بمتطلب إعادة التشغيل بدلًا من إرسال إعادة التحميل للمرة الخامسة.
اسحب بيانات الاعتماد القديمة بشكل منفصل
تثبيت بديل على جهاز واحد يترك كل قرين لا يزال يثق ببيانات الاعتماد التي يعرفها بالفعل. إن كان سبب التغيير اختراقًا، فلا بد من سحب الهوية القديمة عبر إجراء الثقة أو قائمة الحظر كي يرفضها الأقران فعلاً.
هذه خطوة منفصلة لها تحققها الخاص: تأكد من مضيف آخر أن الهوية القديمة لم تعد تعمل، بدلًا من افتراض أن الملف الجديد أدى المهمة. تغطي وثائق إعداد PKI في Nebula الإعدادات القابلة لإعادة التحميل وحد العنوان الموصوف هنا، ويستحق قراءتها كاملة قبل تدوير أي شيء إنتاجي.