Nebula necessita tres fitxers: CA, certificat d'amfitrió i clau d'amfitrió

Si doneu a algú un directori de Nebula, normalment copiarà tot el contingut, inclòs el fitxer que no hauria de sortir mai de la vostra estació de treball. La confusió és comprensible, perquè els tres fitxers del bloc PKI d'un amfitrió s'assemblen i dos són certificats. Cadascun respon una pregunta diferent, i només dos pertanyen al node. Classifiqueu-los per funció abans de copiar res.

Tres fitxers, tres feines diferents

El certificat CA és un ancoratge de confiança: indica a l'amfitrió en quines autoritats confiar quan un altre amfitrió presenta la seva identitat. El certificat d'amfitrió és la credencial pròpia del node, signada per aquesta autoritat. La clau d'amfitrió és la meitat privada corresponent i pertany exactament a una màquina. Un node amb el certificat CA i la seva pròpia parella pot unir-se a l'overlay i demostrar qui és. Un node amb la clau d'una altra persona també pot fer-se passar per aquesta persona, i aquesta és la fallada que aquesta disposició ha d'evitar.

Copiar un directori d'amfitrió que funciona en una segona màquina no és, doncs, un drecera. És una identitat duplicada amb un resultat previsible.

La clau de signatura no viatja mai

La clau de signatura de la CA no forma part de cap configuració d'amfitrió. Crea identitats noves, i qui la té pot emetre un certificat per a qualsevol adreça de l'overlay i qualsevol grup. Els parells només necessiten el certificat CA públic per verificar signatures, així que la meitat privada no hi té cap paper en un client. Manteniu-la a la màquina on s'emeten els certificats i tracteu una còpia accidental com un incident, no com una comoditat.

Si diverses persones han d'emetre certificats, doneu-los un procés en lloc d'una còpia de la clau. Una clau de signatura compartida en un portàtil és una autoritat que ningú no pot auditar ni revocar.

Què hi ha dins d'un certificat d'amfitrió

Un certificat d'amfitrió lliga a una clau molt més que un nom de fitxer. Porta l'adreça del node a l'overlay, el seu nom i la seva pertinença a un grup, tot signat perquè un parell pugui decidir si l'accepta. Per això canviar el nom d'un amfitrió vol dir emetre un certificat nou, no editar una línia de configuració.

nebula-cert print -path host.crt mostra què es va emetre realment. Llegiu-lo abans de suposar que el certificat porta l'adreça que volíeu.

Recarregar no sempre és suficient

Alguns paràmetres PKI es recarreguen amb un senyal, i d'altres no. Un certificat l'adreça del qual a l'overlay ha canviat és el cas clàssic que necessita reiniciar el procés en lloc de recarregar-lo.

Comproveu quins camins ha obert realment el procés en execució, no només quins camins anomena el fitxer de configuració. Després canvieu una credencial, verifiqueu la connectivitat i els registres, i només llavors toqueu la següent. Una recàrrega que sembla funcionar mentre el certificat antic es queda a la memòria produeix una discrepància que sembla un problema d'encaminament. Reiniciar és barat; depurar una identitat que la meitat de l'overlay encara veu a la manera antiga no ho és.

Treure una identitat requereix una llista de bloqueig

Substituir una credencial perduda o exposada té dues meitats. El certificat nou restaura l'accés, i la identitat antiga ha de deixar de ser acceptada. Són operacions separades, i fer només la primera deixa vàlida la credencial compromesa.

La llista de bloqueig és un fitxer que distribuïu als amfitrions, no una cosa que un lighthouse enviï pel seu compte. Planifiqueu com arriba a cada node, inclosos els que avui estan fora de línia, i anoteu quines empremtes heu bloquejat. Roteu la clau a la màquina emissora i guardeu les dades del certificat nou amb el registre de l'amfitrió. Una revocació que només existeix a la màquina que heu editat no és una revocació.