Nebula sertifikatının yenidən yüklənməsi IP-ni dəyişmədi: səbəbi budur
Yenidən yükləmə host-un etimadnaməsini yalnız overlay ünvanı eyni qaldıqda yenidən oxuyur. Ünvanın dəyişdirilməsi yenidən başlatma və şəbəkə dəyişikliyi deməkdir, təkrar cəhd deyil.
Fərqli overlay ünvanı ilə yeni host sertifikatı buraxır, onu köhnə faylın üzərinə kopyalayır, yenidən yükləmə göndərirsiniz və host əvvəlki ünvanda cavab verməyə davam edir. Refleks yenidən yükləmənin uğursuz olduğunu və ya səhv faylın oxunduğunu güman etməkdir. Adətən heç biri baş vermir: işləyən proses onsuz da malik olduğu kimliyi qəsdən saxlamışdır, çünki əvəzetmə yenidən yükləmənin tətbiq edə bilmədiyi bir şeyi dəyişmişdi.
Nebula-nın PKI yenidən yükləmə dəstəyi bu sərhədlə sənədləşdirilib və eyni sənədlər yenidən yükləmənin başqa dəyişikliklər üçün işlədiyini göstərdikdə bunu qaçırmaq asandır.
Yenidən yükləmə əslində nəyi yenidən oxuyur
Host sertifikatı SSH açarı kimi sadəcə bir etimadnamə deyil. O, overlay ünvanını, host adını, qrup üzvlüklərini və etibarlılıq pəncərəsini daşıyır və bunların hamısı CA-nın imzası ilə bir-birinə bağlanır. Demon bu imzalanmış məzmuna əsaslanaraq özünü necə təqdim edəcəyini və hansı qaydaların ona tətbiq olunacağını müəyyən edir.
Yenidən yükləmə prosesin tunellərini itirmədən yenilənmiş etimadnaməni götürməsinə imkan verir ki, bu da müntəzəm rotasiya üçün dəyərlidir: eyni ünvan, eyni ad, eyni qruplar, daha sonrakı bitmə tarixi. Məhdudiyyət kimliyin eyni qalmasıdır. Overlay ünvanını dəyişsəniz, yenidən yükləmə yolu onu tətbiq edə bilməz, çünki ünvan işləyən nüsxənin artıq öhdəsinə götürdüyü şeyin bir hissəsidir.
Yəni gördüyünüz davranış sənədləşdirilmiş məhdudiyyətin öz işini görməsidir, səssiz uğursuzluq deyil. Diskdəki fayl yenidir; yaddaşdakı kimlik köhnədir; prosesin yenidən başlatma olmadan bu fərqi uzlaşdırmaq üçün dəstəklənən yolu yoxdur.
Ünvan, ad və qruplar bir kimlikdir
Sertifikatı ayrı-ayrılıqda redaktə edə biləcəyiniz sahələr toplusu kimi deyil, vahid qeyd kimi düşünmək kömək edir. Ünvanı köçürmək seçimi dəyişməyə bənzəmir, çünki ünvan digər host-ların peer konfiqurasiyalarında, xidmət bağlamalarında və kimliyə qarşı yazılmış siyasətlərdə görünür.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Qruplar ayrıca sətirə layiqdir, çünki eyni çaşqınlığın daha səssiz versiyasına səbəb olurlar. Ünvanını saxlayıb qruplarını dəyişən host yenidən başlatmadan sonra başqa xidmətlərə çata bilər və yalnız köhnə ünvanı ping edən test tam sağlam görünəcək, halbuki altında giriş qərarları dəyişib. Yalnız əlçatanlığı deyil, qaydaya bağlı bir xidməti yoxlayın. Tunelin təsdiqi ilə siyasətin təsdiqi arasındakı fərq budur.
Yüklənmiş sertifikatı əvəzlə müqayisə edin
Demonun faylı nəzərə almadığını güman etməzdən əvvəl hər ikisini oxuyun. Yükləmək istədiyiniz sertifikatı çap edin və dəyişdirdiyinizi düşündüyünüz sahələri təsdiqləyin, sonra işləyən konfiqurasiyanın başqa yerdəki kopyaya deyil, həmin yola işarə etdiyini təsdiqləyin.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Proses arqumentləri insanların gözlədiyindən daha çox əhəmiyyət daşıyır. -config /etc/nebula/config.yml ötürən unit həmin faylın pki.cert qeydini oxuyur və müvəqqəti qovluğa quraşdırılmış sertifikat heç nəyə təsir etmir. İzlədiyiniz sənədlərdəki yolu deyil, işləyən əmr sətrindəki yolu yoxlayın. İkisi fərqlənirsə, sertifikata heç toxunmadan problemi tapmısınız.
Yeni sertifikatın ünvanı fərqlidirsə və proses köhnəni saxlayıbsa, artıq sirr deyil, izahatınız var. Məqbuldursa onu yenidən başladın və ünvan dəyişikliyinə təsadüfi deyil, planlaşdırılmış şəbəkə dəyişikliyi kimi yanaşın.
Ünvan dəyişikliyi şəbəkə dəyişikliyidir
Bunu maşının köçürülməsini planladığınız kimi planlayın. Digər host-lar köhnə ünvanı konfiqurasiyalarında bərkitmiş ola bilər, xidmətlər ona açıq şəkildə bağlana bilər və firewall qaydaları ona qarşı yazılmış ola bilər. Sertifikatı dəyişmək host-u köçürür, host-un köçməsi isə başqa yerlərdəki fərziyyələri etibarsız edir.
Bunu edərkən ikinci idarəetmə yolunu açıq saxlayın, çünki kəsdiyiniz şey overlay bağlantısı ola bilər. Bunu pozmaq üzrə olduğunuz tunelin üzərindən etmək beş dəqiqəlik dəyişikliyi sahə səfərinə çevirməyin klassik yoludur.
Yenidən başlatmanın məqbul olub-olmaması host-un nə etdiyindən asılıdır və bu texniki deyil, planlaşdırma məsələsidir. Məcburi olan, yenidən yükləməni beşinci dəfə göndərmək əvəzinə yenidən başlatma tələbini qəbul etməkdir.
Köhnə etimadnaməni ayrıca ləğv edin
Bir maşında əvəzetmə quraşdırmaq hər peer-in artıq bildiyi etimadnaməyə hələ də güvənməsi deməkdir. Dəyişikliyin səbəbi kompromis idisə, köhnə kimlik etimad və ya qara siyahı proseduru ilə ləğv edilməlidir ki, peer-lər onu həqiqətən rədd etsin.
Bu, öz yoxlaması olan ayrı bir addımdır: yeni faylın işi gördüyünü güman etmək əvəzinə, başqa host-dan köhnə kimliyin artıq işləmədiyini təsdiqləyin. Nebula PKI konfiqurasiya sənədləri yenidən yüklənə bilən parametrləri və burada təsvir olunan ünvan məhdudiyyətini əhatə edir və hər hansı istehsal resursunu rotasiya etməzdən əvvəl onu tam oxumağa dəyər.