Списък за блокиране в Nebula: разпространявайте го, фарът няма да го направи

Прилагането на списък за блокиране е свойство на хоста, който прави проверката, а не на сертификата, който се проверява. Машина, която никога не е зареждала записа, продължава да приема самоличността, и нищо в ръкостискането не ви предупреждава, че двама връстници са на различно мнение. Евтиното решение и скъпото решение за едно разкрито удостоверение се различават по обхват и по обратимост, затова избирайте съзнателно. Разделите по-долу описват какво прави записът, къде трябва да бъде доставен, кога подмяната е по-добрият отговор и как да докажете, че едното от двете е проработило.

Какво всъщност прави записът в списъка за блокиране

Конфигурацията на PKI изброява отпечатъци, които хостът трябва да отхвърли, дори когато сертификатът е валидно подписан и непросрочен. Прилагането става локално, срещу списъка, който този хост е заредил при стартирането на услугата. Нищо от записа не пътува вътре в сертификата, така че връстник не може да научи решението от удостоверението, което му се показва. Затова фарът тук не играе никаква роля: фаровете помагат на връстниците да се намерят един друг и да пренасят трафик там, където директният път се проваля. Те са слой за откриване и пренасяне, а не канал за разпространение на конфигурация.

Обновяването на една машина променя решенията на тази машина и оставя всеки друг връстник точно както си е бил. Връстник, който се доверява на подписващия орган и никога не е виждал записа, няма причина да отхвърли каквото и да е. Затова тестването на оттегляне чрез наблюдение на фара не доказва нищо, защото компонентът, който наблюдавате, никога не е бил помолен да прилага списъка.

Идентифицирайте сертификата, а не устройството

Използвайте отпечатъка на удостоверението, което възнамерявате да отхвърлите, защото име на хост, етикет на устройство или текущ адрес идентифицират машина днес и нещо друго следващия месец. Нито един от тези низове не се появява в списъка за блокиране и нито един не оцелява след преинсталиране. Отпечатайте сертификата, прочетете отпечатъка и проверете, че принадлежи на удостоверението, което се извежда от употреба, а не на неговата замяна. Четенето на двата файла е важно, когато замяната вече е издадена, тъй като старият и новият сертификат могат да споделят име и да се различават във всяко друго поле.

Запишете кой отпечатък е блокиран и кога, за да разграничи по-късен одит завършена промяна от планирана такава. Отбележете и какво записът не прави: той не обезсилва подписващия орган и не спира приемането на бъдещ сертификат от този орган. Блокирането на хостов сертификат и подмяната на компрометиран орган са различни операции с различни последствия.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Разпространявайте го като всяка друга конфигурация

Отнасяйте се към списъка като към конфигурация с механизъм за доставка, а не като към файл, който някой редактира, когато се сети. Избутвайте целия списък, а не разлика, за да се сближи хост, пропуснал по-ранно обновяване, вместо да натрупва пропуски. Документацията на Nebula PKI препоръчва точно това и съветът си заслужава да се следва буквално, вместо да се преразказва в ръчен процес.

Потвърдете, че работещата услуга е презаредила съдържанието, а не само че файлът на диска се е променил. Проследявайте кои машини са приложили промяната и дръжте списъка с неизпълнените видим, докато се изпразни. Лаптоп, затворен за седмица, е връстник, който никога не е научил решението, и може да се свърже отново от мрежа, която никой не е очаквал. Запишете метода за доставка до отпечатъка, защото следващото оттегляне го използва повторно и именно при първото процесът се отстранява.

Списък за блокиране или подмяна на органа

Записът в списъка за блокиране е тесен: една самоличност спира да работи и всичко останало продължава. Подмяната на подписващия орган е широка: всеки издаден от него сертификат става недоверен и всеки хост се нуждае от ново удостоверение и нова котва на доверие. Първото е целенасочено оттегляне, а второто е миграция, затова те изискват различни одобрения и различни прозорци за поддръжка. Таблицата поставя двете едно до друго по обхват, усилие и обратимост.

Загубен лаптоп изисква списъка за блокиране, защото радиусът на поражение е една самоличност и промяната е обратима, ако сте блокирали грешния отпечатък. Изтекъл ключ на орган изисква подмяна, защото списъкът за блокиране не може да помогне със сертификати, които още не са издадени. Между тези крайности питайте дали разкритото удостоверение е могло да подпише нещо друго, тъй като органът е повече от един хост.

Запишете решението преди инцидент, защото изборът под натиск обикновено произвежда широкия вариант по подразбиране. Който и път да изберете, оставащата работна точка е една и съща: докажете, че прилагането е станало на хостовете, които имат значение. Записването на отпечатъка и датата в този момент е това, което прави доказателството възможно по-късно.

Проверете отказа и остатъка

Свържете се от блокираната самоличност и потвърдете отказа, след което се свържете от оторизиран връстник и потвърдете, че той все още достига до каквото му трябва. Промяна, която чупи всички, не е успешно оттегляне. Направете и двете от нови сесии, защото кешираното състояние може да скрие резултата.

Проверете дали установена сесия приключва след промяната, и запишете поведението за вашата версия и конфигурация, вместо да предполагате, че редактирането на файл прекратява нещо. Опцията disconnect_invalid покрива клиенти, чиито сертификати са изтекли или невалидни, затова потвърдете как се прилага във вашия случай, преди да разчитате на нея. Ако незабавното прекратяване е изискване, тествайте го специално и запишете какво сте наблюдавали. След това повторете теста след рестарт, защото хост, който прилага списъка само до следващото си зареждане, има проблем с доставката, който първият тест е прикрил. Здрав фар ви казва, че откриването работи, а не че някой връстник е приложил политика.