Nebula potřebuje tři soubory: certifikát CA, certifikát hostitele a klíč hostitele

Když někomu dáte adresář Nebula, obvykle zkopíruje všechno včetně souboru, který by nikdy neměl opustit vaši pracovní stanici. Zmatek je pochopitelný, protože tři soubory v PKI bloku hostitele vypadají podobně a dva z nich jsou certifikáty. Každý odpovídá na jinou otázku a jen dva patří na uzel. Než cokoli zkopírujete, roztřiďte je podle role.

Tři soubory, tři různé úlohy

Certifikát CA je kotva důvěry: říká hostiteli, kterým autoritám má věřit, když jiný hostitel předloží svou identitu. Certifikát hostitele je vlastní pověření uzlu podepsané touto autoritou. Klíč hostitele je odpovídající soukromá polovina a patří právě jednomu stroji. Uzel s certifikátem CA a vlastním párem se může připojit k overlay síti a prokázat, kdo je. Uzel s cizím klíčem se také může vydávat za onoho člověka, a to je selhání, kterému má toto uspořádání zabránit.

Kopírování funkčního adresáře hostitele na druhý stroj tedy není zkratka. Je to zdvojená identita s předvídatelným výsledkem.

Podepisovací klíč nikdy necestuje

Podepisovací klíč CA není součástí žádné konfigurace hostitele. Vytváří nové identity a ten, kdo ho má, může vydat certifikát pro libovolnou overlay adresu a libovolnou skupinu. Protějšky potřebují k ověření podpisů jen veřejný certifikát CA, takže soukromá polovina na klientovi nemá vůbec žádnou roli. Uchovávejte ho na stroji, kde se certifikáty vydávají, a náhodnou kopii berte jako incident, ne jako pohodlí.

Pokud má certifikáty vydávat víc lidí, dejte jim proces místo kopie klíče. Sdílený podepisovací klíč na notebooku je autorita, kterou nikdo nemůže auditovat ani odvolat.

Co je uvnitř certifikátu hostitele

Certifikát hostitele váže ke klíči víc než jen název souboru. Nese overlay adresu uzlu, jeho jméno a členství ve skupině, vše podepsané, aby se protějšek mohl rozhodnout, zda ho přijme. Proto přejmenování hostitele znamená vydání nového certifikátu, ne úpravu řádku konfigurace.

nebula-cert print -path host.crt ukazuje, co bylo skutečně vydáno. Přečtěte si ho, než budete předpokládat, že certifikát nese adresu, kterou jste zamýšleli.

Znovunačtení nestačí vždy

Některá nastavení PKI se znovu načtou na signál, některá ne. Certifikát, jehož overlay adresa se změnila je klasický případ, který vyžaduje restart procesu, ne znovunačtení.

Ověřte, které cesty běžící proces skutečně otevřel, ne jen které cesty uvádí konfigurační soubor. Pak změňte jedno pověření, ověřte konektivitu a logy, a teprve potom se pusťte do dalšího. Znovunačtení, které vypadá úspěšně, zatímco starý certifikát zůstává v paměti, vytváří nesoulad, který vypadá jako problém směrování. Restart je levný; ladění identity, kterou polovina overlaye ještě vidí po starém, levné není.

Odebrání identity vyžaduje seznam blokovaných

Nahrazení ztraceného nebo prozrazeného pověření má dvě poloviny. Nový certifikát obnoví přístup a stará identita musí přestat být přijímána. Jsou to oddělené operace a provedení jen té první ponechá kompromitované pověření platné.

Seznam blokovaných je soubor, který rozdáváte hostitelům, ne něco, co lighthouse rozešle sám. Naplánujte, jak se dostane ke každému uzlu, včetně těch, které jsou dnes offline, a zaznamenejte, které otisky jste zablokovali. Otočte klíč na stroji, který vydává certifikáty, a údaje o novém certifikátu uchovejte u záznamu hostitele. Odvolání, které existuje jen na stroji, který jste upravili, není odvolání.