Спіс блакавання Nebula: размяркуйце яго, маяк гэтага не зробіць

Выкананне спісу блакавання — уласцівасць хаста, які робіць праверку, а не сертыфіката, які правяраюць. Машына, якая ніколі не загружала запіс, працягвае прымаць ідэнтычнасць, і нішто ў рукапоцісці не папярэджвае вас, што два вузлы не згодныя. Дэшэвы рамонт і дарагі рамонт для аднаго раскрытага пасведчання розныя па ахопу і па зваротнасці, таму выбірайце свядома. Раздзелы ніжэй апісваюць, што робіць запіс, дзе яго трэба даставіць, калі ратацыя — лепшы адказ і як даказаць, што спрацаваў любы з іх.

Што насамрэч робіць запіс спісу блакавання

Канфігурацыя PKI пералічвае адбіткі, якія хаст павінен адхіліць, нават калі сертыфікат слушна падпісаны і не пратэрмінаваны. Выкананне адбываецца лакальна, супраць спісу, які гэты хаст загрузіў пры запуску службы. Нішто пра запіс не падарожнічае ўнутры сертыфіката, таму вузел не можа даведацца рашэнне з пасведчання, якое яму паказваюць. Менавіта таму маяк тут не мае ролі: маякі дапамагаюць вузлам знаходзіць адно аднаго і перадаваць трафік там, дзе прамы шлях не атрымліваецца. Яны — пласт выяўлення і перадачы, а не канал раздачы канфігурацыі.

Абнаўленне адной машыны змяняе рашэнні гэтай машыны і пакідае кожны іншы вузел такім, як ён быў. Вузел, які давярае падпісваючаму органу і ніколі не бачыў запісу, не мае прычын нічога адхіляць. Таму праверка адклікання праз назіранне за маяком нічога не даказвае, бо кампанент, за якім вы назіраеце, ніколі не прасілі выконваць спіс.

Вызначце сертыфікат, а не прыладу

Выкарыстоўвайце адбітак пасведчання, якое збіраецеся адхіліць, бо імя хаста, этыкетка прылады або бягучы адрас вызначаюць машыну сёння, а нешта іншае — у наступным месяцы. Ні адзін з гэтых радкоў не з'яўляецца ў спісе блакавання, і ні адзін не перажывае пераўсталёўку. Надрукуйце сертыфікат, прачытайце адбітак і праверце, што ён належыць пасведчанню, якое выводзіцца з эксплуатацыі, а не яго замене. Чытанне абодвух файлаў важнае, калі замена ўжо выдадзеная, бо стары і новы сертыфікаты могуць мець адно імя і адрознівацца ва ўсіх іншых палях.

Запішыце, які адбітак быў заблакаваны і калі, каб пазнейшы аўдыт адрозніў завершаную змену ад запланаванай. Заўважце таксама, чаго запіс не робіць: ён не анулюе падпісваючы орган і не спыняе прыняцце будучага сертыфіката ад гэтага органа. Блакаванне сертыфіката хаста і замена скампраметаванага органа — розныя аперацыі з рознымі наступствамі.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Раздавайце гэта як любую іншую канфігурацыю

Стаўцеся да спісу як да канфігурацыі з механізмам дастаўкі, а не як да файла, які хтосьці рэдагуе, калі ўспомніць. Штурхайце ўвесь спіс, а не дэльту, каб хаст, які прапусціў папярэдняе абнаўленне, збегся, а не назапашваў прабелы. Дакументацыя Nebula PKI раіць менавіта гэта, і радзе варта ісці літаральна, а не пераказваць яго ў ручны працэс.

Пацвердзіце, што працуючая служба перазагрузіла змесціва, а не проста што файл на дыску змяніўся. Адсочвайце, якія машыны ўжылі змену, і трымайце спіс невыкананага бачным, пакуль ён не спусцее. Ноўтбук, закрыты на тыдзень, — гэта вузел, які ніколі не даведаўся рашэння, і ён можа перападключыцца з сеткі, якую ніхто не чакаў. Запішыце спосаб дастаўкі побач з адбіткам, бо наступнае адкліканне выкарыстае яго, і менавіта на першым адладжваюць працэс.

Спіс блакавання або ратацыя органа

Запіс спісу блакавання вузкі: адна ідэнтычнасць перастае працаваць, а ўсё астатняе працягваецца. Ратацыя падпісваючага органа шырокая: кожны выдадзены ім сертыфікат становіцца недавераным, і кожнаму хасту патрэбна новае пасведчанне і новы якар даверу. Першае — мэтанакіраванае адкліканне, другое — міграцыя, таму яны патрабуюць розных узгадненняў і розных вокнаў абслугоўвання. Табліца ставіць абодва побач па ахопу, намаганнях і зваротнасці.

Страчаны ноўтбук патрабуе спісу блакавання, бо радыус уздзеяння — адна ідэнтычнасць, і змена зваротная, калі вы заблакавалі няправільны адбітак. Уцечка ключа органа патрабуе ратацыі, бо спіс блакавання не дапаможа з сертыфікатамі, якія яшчэ не выдадзеныя. Паміж гэтымі крайнасцямі спытайце, ці магло раскрытае пасведчанне падпісаць штосьці яшчэ, бо орган — гэта больш за адзін хаст.

Запішыце рашэнне да інцыдэнту, бо выбар пад ціскам схільны па змаўчанні даваць шырокі варыянт. Які б шлях вы ні выбралі, пакінуты працоўны пункт адзін: даказаць, што выкананне адбылося на важных хастах. Запіс адбітка і даты ў той момант — гэта тое, што робіць доказ магчымым пазней.

Праверце адхіленне і астатак

Падключыцеся з заблакаванай ідэнтычнасці і пацвердзіце збой, затым падключыцеся з дазволенага вузла і пацвердзіце, што ён дасягае таго, што яму трэба. Змена, якая ламае ўсіх, не з'яўляецца паспяховым адкліканнем. Рабіце і тое і другое з новых сесій, бо кэшаваны стан можа схаваць вынік.

Праверце, ці скончваецца ўсталяваная сесія пасля змены, і запішыце паводзіны для вашай версіі і канфігурацыі, замест таго каб меркаваць, што рэдагаванне файла нешта спыняе. Параметр disconnect_invalid ахоплівае кліентаў, сертыфікаты якіх пратэрмінаваныя або несапраўдныя, таму пацвердзіце, як ён ужываецца ў вашым выпадку, перш чым спадзявацца на яго. Калі неадкладнае спыненне — патрабаванне, праверце гэта асобна і запішыце тое, што вы назіралі. Затым паўтарыце тэст пасля перазапуску, бо хаст, які выконвае спіс толькі да наступнай перазагрузкі, мае праблему дастаўкі, якую першы тэст схаваў. Здаровы маяк кажа вам, што выяўленне працуе, а не што нейкі вузел ужыў палітыку.