Nebula üç fayl tələb edir: CA, host sertifikatı, host açarı

Bir kimsəyə Nebula qovluğu versəniz, adətən hamısını kopyalayır, o cümlədən iş stansiyanızdan heç vaxt çıxmamalı olan faylı. Qarışıqlıq başa düşüləndir, çünki hostun PKI blokundakı üç fayl bir-birinə bənzəyir və onlardan ikisi sertifikatdır. Hər biri başqa bir suala cavab verir və yalnız ikisi düyünə aiddir. Kopyalamadan əvvəl onları rola görə ayırın.

Üç fayl, üç fərqli iş

CA sertifikatı etimad ankeridir: başqa host öz kimliyini təqdim edəndə hostun hansı orqanlara inanacağını bildirir. Host sertifikatı düyünün öz etimad sənədidir və həmin orqan tərəfindən imzalanır. Host açarı ona uyğun şəxsi yarıdır və tam olaraq bir maşına aiddir. CA sertifikatı və öz cütü olan düyün overlay şəbəkəsinə qoşula və kim olduğunu sübut edə bilər. Başqasının açarı olan düyün də özünü həmin şəxs kimi təqdim edə bilər və bu sxemin qarşısını almaq üçün mövcud olduğu nasazlıq elə budur.

İşlək host qovluğunu ikinci maşına kopyalamaq buna görə qısa yol deyil. Bu, nəticəsi əvvəlcədən məlum olan dublikat kimlikdir.

İmzalama açarı heç vaxt səyahət etmir

CA imzalama açarı heç bir host konfiqurasiyasının hissəsi deyil. O, yeni kimliklər yaradır və onu saxlayan istənilən overlay ünvanı və istənilən qrup üçün sertifikat yarada bilər. Qarşı tərəflərə imzaları yoxlamaq üçün yalnız açıq CA sertifikatı lazımdır, ona görə şəxsi yarının müştəridə heç bir rolu yoxdur. Onu sertifikatların verildiyi maşında saxlayın və təsadüfi kopyanı rahatlıq deyil, insident kimi qiymətləndirin.

Bir neçə nəfər sertifikat verməlidirsə, onlara açarın kopyasını deyil, proses verin. Noutbukda ortaq imzalama açarı heç kimin audit edə və ya ləğv edə bilmədiyi bir səlahiyyətdir.

Host sertifikatının içində nə var

Host sertifikatı açarı yalnız fayl adından çox şeylə bağlayır. O, düyünün overlay ünvanını, adını və qrup üzvlüyünü daşıyır və hamısı imzalanır ki, qarşı tərəf qəbul edib-etməyəcəyinə qərar verə bilsin. Buna görə hostun adını dəyişmək konfiqurasiya sətrini redaktə etmək deyil, yeni sertifikat vermək deməkdir.

nebula-cert print -path host.crt nəyin həqiqətən verildiyini göstərir. Sertifikatın nəzərdə tutduğunuz ünvanı daşıdığını güman etməzdən əvvəl onu oxuyun.

Yenidən yükləmə həmişə kifayət etmir

Bəzi PKI parametrləri siqnal ilə yenidən yüklənir, bəziləri isə yox. Overlay ünvanı dəyişmiş sertifikat yenidən yükləmə deyil, prosesin yenidən başladılmasını tələb edən klassik haldır.

İşləyən prosesin həqiqətən açdığı yolları təsdiqləyin, yalnız konfiqurasiya faylının göstərdiyi yolları deyil. Sonra bir etimad sənədini dəyişin, bağlantını və jurnalları yoxlayın və yalnız bundan sonra növbətisinə toxunun. Köhnə sertifikat yaddaşda qalarkən uğurlu görünən yenidən yükləmə marşrutlaşdırma problemi kimi görünən uyğunsuzluq yaradır. Yenidən başlatmaq ucuzdur; overlay-in yarısının hələ də köhnə formada gördüyü kimliyi sazlamaq isə deyil.

Kimliyi silmək qara siyahı tələb edir

İtirilmiş və ya açılmış etimad sənədinin dəyişdirilməsinin iki yarısı var. Yeni sertifikat çıxışı bərpa edir, köhnə kimlik isə qəbul olunmağı dayandırmalıdır. Bunlar ayrı əməliyyatlardır və yalnız birincisini etmək kompromisə uğramış etimad sənədini qüvvədə saxlayır.

Qara siyahı hostlara payladığınız fayldır, lighthouse-un öz-özünə göndərdiyi bir şey deyil. Onun hər düyünə necə çatacağını planlaşdırın, bu gün oflayn olanlar da daxil olmaqla, və hansı barmaq izlərini blokladığınızı qeyd edin. Açarı verən maşında dəyişdirin və yeni sertifikatın detallarını host qeydi ilə birlikdə saxlayın. Yalnız redaktə etdiyiniz maşında mövcud olan ləğv ləğv deyil.