Nebula zahtijeva tri datoteke: CA, certifikat hosta i privatni ključ hosta

Ako nekome date Nebula direktorij, obično će kopirati sve, uključujući datoteku koja nikada ne bi smjela napustiti vašu radnu stanicu. Zabuna je razumljiva jer tri datoteke u PKI bloku hosta izgledaju slično i dvije su certifikati. Svaka odgovara na drugo pitanje, a samo dvije pripadaju čvoru. Razvrstajte ih po ulozi prije nego što bilo što kopirate.

Tri datoteke, tri različita posla

CA certifikat je sidro povjerenja: govori hostu kojim tijelima treba vjerovati kada drugi host predstavi svoj identitet. Certifikat hosta je vlastita vjerodajnica čvora, potpisana od tog tijela. Ključ hosta je odgovarajuća privatna polovina i pripada točno jednom računalu. Čvor s CA certifikatom i vlastitim parom može se pridružiti overlayju i dokazati ko je. Čvor s tuđim ključem također može tvrditi da je ta druga osoba, i to je kvar koji ova postavka treba spriječiti.

Kopiranje radnog direktorija hosta na drugo računalo zato nije prečac. To je udvojeni identitet s predvidivim ishodom.

Ključ za potpisivanje nikada ne putuje

CA ključ za potpisivanje nije dio nijedne konfiguracije hosta. On stvara nove identitete, a onaj ko ga ima može izdati certifikat za bilo koju overlay adresu i bilo koju grupu. Protivnicima u mreži treba samo javni CA certifikat za provjeru potpisa, pa privatna polovina na klijentu uopće nema ulogu. Držite ga na računalu na kojem se izdaju certifikati i tretirajte slučajnu kopiju kao incident, a ne kao pogodnost.

Ako više ljudi treba izdavati certifikate, dajte im proces umjesto kopije ključa. Dijeljeni ključ za potpisivanje na prijenosniku je ovlast koju nitko ne može revidirati ni opozvati.

Što se nalazi u certifikatu hosta

Certifikat hosta veže uz ključ više od imena datoteke. Nosi overlay adresu čvora, njegovo ime i članstvo u grupi, sve potpisano kako bi drugi čvor mogao odlučiti hoće li ga prihvatiti. Zato preimenovanje hosta znači izdavanje novog certifikata, a ne uređivanje retka konfiguracije.

nebula-cert print -path host.crt pokazuje što je doista izdano. Pročitajte ga prije nego što pretpostavite da certifikat nosi adresu koju ste namjeravali.

Ponovno učitavanje nije uvijek dovoljno

Neke PKI postavke se ponovno učitavaju na signal, a neke ne. Certifikat čija se overlay adresa promijenila je klasičan slučaj koji zahtijeva ponovno pokretanje procesa, a ne ponovno učitavanje.

Provjerite koje je putanje pokrenuti proces doista otvorio, ne samo koje putanje navodi konfiguracijska datoteka. Zatim promijenite jednu vjerodajnicu, provjerite povezivost i zapise, i tek onda prijeđite na sljedeću. Ponovno učitavanje koje izgleda uspješno dok stari certifikat ostaje u memoriji stvara nepodudarnost koja izgleda kao problem usmjeravanja. Ponovno pokretanje je jeftino; otklanjanje problema s identitetom koji polovica overlaya još vidi na stari način nije.

Uklanjanje identiteta zahtijeva bloklistu

Zamjena izgubljene ili otkrivene vjerodajnice ima dvije polovine. Novi certifikat vraća pristup, a stari identitet mora prestati biti prihvaćen. To su odvojene radnje, a izvođenje samo prve ostavlja kompromitiranu vjerodajnicu valjanom.

Bloklista je datoteka koju distribuirate hostovima, a ne nešto što lighthouse sam šalje. Isplanirajte kako stiže do svakog čvora, uključujući one koji su danas izvan mreže, i zabilježite koje ste otiske blokirali. Rotirajte ključ na računalu koje izdaje i čuvajte podatke novog certifikata uz zapis hosta. Opoziv koji postoji samo na računalu koje ste uredili nije opoziv.