Nid oedd ail-lwytho tystysgrif Nebula yn newid yr IP: dyma pam

Rydych yn cyhoeddi tystysgrif gwesteiwr newydd gyda chyfeiriad overlay gwahanol, yn ei chopïo dros yr hen ffeil, yn anfon yr ail-lwytho, ac mae’r gwesteiwr yn parhau i ateb ar y cyfeiriad oedd ganddo o’r blaen. Y reddf yw tybio bod yr ail-lwytho wedi methu neu fod y ffeil anghywir wedi’i darllen. Fel arfer ni ddigwyddodd y naill na’r llall: cadwodd y broses sy’n rhedeg yr hunaniaeth oedd ganddi eisoes yn fwriadol, oherwydd roedd y disodli wedi newid rhywbeth na all ail-lwytho ei gymhwyso.

Mae cymorth ail-lwytho PKI Nebula wedi’i ddogfennu gyda’r ffin hon, ac mae’n hawdd ei cholli pan fydd yr un ddogfennaeth yn dangos bod ail-lwytho yn gweithio ar gyfer newidiadau eraill.

Beth mae ail-lwytho yn ei ailddarllen mewn gwirionedd

Nid credens yn unig yw tystysgrif gwesteiwr fel y mae allwedd SSH. Mae’n cario’r cyfeiriad overlay, enw’r gwesteiwr, aelodaeth grwpiau a ffenestr dilysrwydd, ac mae’r rhain i gyd wedi’u rhwymo at ei gilydd gan lofnod y CA. Mae’r daemon yn defnyddio’r cynnwys llofnod hwnnw i benderfynu sut mae’n cyflwyno ei hun a pha reolau sy’n gymwys iddo.

Mae ail-lwytho yn caniatáu i’r broses godi credens wedi’i hadnewyddu heb ollwng ei thwneli, sy’n werthfawr ar gyfer cylchdroi arferol: yr un cyfeiriad, yr un enw, yr un grwpiau, dod i ben yn hwyrach. Y cyfyngiad yw bod yn rhaid i’r hunaniaeth aros yr un fath. Newidiwch y cyfeiriad overlay ac ni all llwybr yr ail-lwytho ei gymhwyso, oherwydd mae’r cyfeiriad yn rhan o’r hyn y mae’r achos sy’n rhedeg eisoes wedi ymrwymo iddo.

Felly’r ymddygiad a welsoch yw’r terfyn dogfennol yn gwneud ei waith, nid methiant distaw. Mae’r ffeil ar y disg yn newydd; mae’r hunaniaeth yn y cof yn hen; nid oes gan y broses unrhyw ffordd gefnogol o gysoni’r gwahaniaeth hwnnw heb ailgychwyn.

Cyfeiriad, enw a grwpiau yw un hunaniaeth

Mae’n helpu i feddwl am y dystysgrif fel un cofnod yn hytrach na set o feysydd y gallwch eu golygu’n annibynnol. Nid yw symud y cyfeiriad fel newid dewis, oherwydd mae’r cyfeiriad yn ymddangos yng nghyfluniadau cymheiriaid gwesteiwyr eraill, mewn bondin gwasanaethau, ac mewn polisïau a ysgrifennwyd yn erbyn yr hunaniaeth.

Mae grwpiau’n haeddu llinell eu hunain oherwydd eu bod yn achosi fersiwn dawelach o’r un dryswch. Gall gwesteiwr sy’n cadw ei gyfeiriad ond yn symud grwpiau gyrraedd gwahanol wasanaethau ar ôl ailgychwyn, a bydd prawf sy’n anfon ping at yr hen gyfeiriad yn unig yn edrych yn hollol iach tra bo penderfyniadau mynediad wedi newid oddi tano. Gwiriwch un gwasanaeth sydd o dan reol, nid cyrhaeddiad yn unig. Dyna’r gwahaniaeth rhwng cadarnhau’r twnnel a chadarnhau’r polisi.

Cymharwch y dystysgrif a lwythwyd â’r disodliad

Cyn tybio bod y daemon wedi anwybyddu’r ffeil, darllenwch y ddau. Argraffwch y dystysgrif rydych yn bwriadu ei llwytho a chadarnhau’r meysydd rydych yn credu i chi eu newid, yna cadarnhau bod y cyfluniad sy’n rhedeg yn pwyntio at y llwybr hwnnw yn hytrach nag at gopi yn rhywle arall.

nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)

Mae dadleuon y broses yn bwysicach nag y mae pobl yn ei ddisgwyl. Mae uned sy’n pasio -config /etc/nebula/config.yml yn darllen cofnod pki.cert y ffeil honno, ac nid yw tystysgrif a osodwyd mewn cyfeiriadur dros dro yn effeithio ar ddim. Gwiriwch y llwybr yn y llinell orchymyn sy’n rhedeg, nid y llwybr yn y ddogfennaeth a ddilynasoch. Os yw’r ddau yn wahanol, rydych wedi dod o hyd i’r broblem heb gyffwrdd â’r dystysgrif o gwbl.

Os oes gan y dystysgrif newydd gyfeiriad gwahanol ac mae’r broses wedi cadw’r hen un, mae gennych esboniad bellach yn hytrach na dirgelwch. Ailgychwynnwch hi os yw hynny’n dderbyniol, a thriniwch y newid cyfeiriad fel newid rhwydwaith wedi’i gynllunio yn hytrach nag un damweiniol.

Mae newid cyfeiriad yn newid rhwydwaith

Cynlluniwch ef fel y byddech yn cynllunio symud peiriant. Efalla bod gwesteiwyr eraill wedi pinio’r hen gyfeiriad yn eu cyfluniad, efalla bod gwasanaethau yn rhwymo iddo’n benodol, ac efalla bod rheolau wal dân wedi’u hysgrifennu yn ei erbyn. Mae newid y dystysgrif yn symud y gwesteiwr, ac mae symud y gwesteiwr yn ddiystyru rhagdybiaethau mewn mannau eraill.

Cadwch ail lwybr rheoli ar gael wrth wneud hyn, oherwydd efallai mai’r cysylltiad overlay yw’r un rydych yn ei dorri. Gwneud hyn dros y twnnel rydych ar fin ei dorri yw’r ffordd glasurol o droi newid pum munud yn ymweliad safle.

Mae a yw ailgychwyn yn dderbyniol yn dibynnu ar yr hyn y mae’r gwesteiwr yn ei wneud, ac mae hynny’n gwestiwn amserlennu yn hytrach na thechnegol. Yr hyn nad yw’n ddewisol yw cydnabod y gofyniad ailgychwyn yn hytrach nag anfon yr ail-lwytho am y pumed tro.

Ymdeolwch yr hen gredens ar wahân

Mae gosod disodliad ar un peiriant yn gadael pob cymheirydd yn dal i ymddiried yn y gredens y mae’n ei hadnabod eisoes. Os mai cyfaddawd oedd y rheswm dros y newid, rhaid ymddeol yr hen hunaniaeth drwy’r weithdrefn ymddiriedaeth neu restr wahardd fel bod cymheiriaid yn ei gwrthod mewn gwirionedd.

Mae hwnnw’n gam ar wahân gyda’i wirio ei hun: cadarnhewch o westeiwr arall nad yw’r hen hunaniaeth yn gweithio mwyach, yn hytrach na thybio bod y ffeil newydd wedi gwneud y gwaith. Mae dogfennaeth cyfluniad PKI Nebula yn ymdrin â’r gosodiadau sy’n ail-lwythadwy a’r cyfyngiad cyfeiriad a ddisgrifir yma, ac mae’n werth ei darllen yn llawn cyn i chi gylchdroi unrhyw beth cynhyrchu.