Nebula се нуждае от три файла: CA сертификат, сертификат на хоста и ключ на хоста

Ако дадете на някого директория на Nebula, той обикновено копира всичко, включително файла, който никога не бива да напуска работната ви станция. Объркването е разбираемо, защото трите файла в PKI блока на хоста си приличат и два от тях са сертификати. Всеки отговаря на различен въпрос и само два от тях принадлежат на възела. Подредете ги по роля, преди да копирате каквото и да е.

Три файла, три различни задачи

CA сертификатът е котва на доверие: той казва на хоста на кои органи да вярва, когато друг хост представи самоличността си. Сертификатът на хоста е собственото удостоверение на възела, подписано от този орган. Ключът на хоста е съответната частна половина и принадлежи на точно една машина. Възел с CA сертификат и собствена двойка може да се присъедини към overlay и да докаже кой е. Възел с чужд ключ също може да се представя за този друг, а именно тази повреда трябва да предотвратява тази схема.

Затова копирането на работеща директория на хост на втора машина не е пряк път. Това е дублирана самоличност с предвидим резултат.

Ключът за подпис никога не пътува

Ключът за подпис на CA не е част от конфигурацията на нито един хост. Той създава нови самоличности и който го притежава, може да издаде сертификат за всеки overlay адрес и всяка група. Връстниците се нуждаят само от публичния CA сертификат, за да проверяват подписи, така че частната половина няма никаква роля на клиента. Пазете го на машината, където се издават сертификати, и третирайте случайно копие като инцидент, а не като удобство.

Ако няколко души трябва да издават сертификати, дайте им процес, а не копие от ключа. Споделен ключ за подпис на лаптоп е власт, която никой не може да одитира или отмени.

Какво има вътре в сертификата на хоста

Сертификатът на хоста свързва с ключ повече от име на файл. Той носи overlay адреса на възела, името му и членството му в група, всичко подписано, за да може връстник да реши дали да го приеме. Затова преименуването на хост означава издаване на нов сертификат, а не редактиране на ред от конфигурацията.

nebula-cert print -path host.crt показва какво действително е издадено. Прочетете го, преди да приемете, че сертификатът носи адреса, който сте имали предвид.

Презареждането не винаги е достатъчно

Някои PKI настройки се презареждат при сигнал, а други не. Сертификат, чийто overlay адрес се е променил е класическият случай, който изисква рестартиране на процеса, а не презареждане.

Проверете кои пътища процесът действително е отворил, а не само кои пътища посочва конфигурационният файл. След това сменете едно удостоверение, проверете свързаността и журналите и едва тогава се захванете със следващото. Презареждане, което изглежда успешно, докато старият сертификат остава в паметта, създава несъответствие, което изглежда като проблем с маршрутизацията. Рестартирането е евтино; отстраняването на проблем със самоличност, която половината от overlay мрежата още вижда по стария начин, не е.

Премахването на самоличност изисква списък за блокиране

Смяната на изгубено или компрометирано удостоверение има две половини. Новият сертификат възстановява достъпа, а старата самоличност трябва да спре да бъде приемана. Това са отделни операции и изпълнението само на първата оставя компрометираното удостоверение валидно.

Списъкът за блокиране е файл, който разпространявате до хостовете, а не нещо, което lighthouse изпраща сам. Планирайте как да стигне до всеки възел, включително тези, които днес са офлайн, и записвайте кои отпечатъци сте блокирали. Сменете ключа на машината, която издава сертификати, и съхранявайте данните на новия сертификат заедно със записа на хоста. Отмяна, която съществува само на машината, която сте редактирали, не е отмяна.