Λίστα αποκλεισμού Nebula: διανείμετέ την, ο φάρος δεν θα το κάνει

Η επιβολή της λίστας αποκλεισμού είναι ιδιότητα του κεντρικού υπολογιστή που κάνει τον έλεγχο, όχι του πιστοποιητικού που ελέγχεται. Ένα μηχάνημα που δεν φόρτωσε ποτέ την καταχώριση συνεχίζει να δέχεται την ταυτότητα, και τίποτα στη χειραψία δεν σας προειδοποιεί ότι δύο ομότιμοι διαφωνούν. Η φθηνή λύση και η ακριβή λύση για ένα εκτεθειμένο διαπιστευτήριο διαφέρουν ως προς την εμβέλεια και την αναστρεψιμότητα, οπότε επιλέξτε συνειδητά. Οι επόμενες ενότητες καλύπτουν τι κάνει η καταχώριση, πού πρέπει να παραδοθεί, πότε η εναλλαγή είναι η καλύτερη απάντηση και πώς να αποδείξετε ότι λειτούργησε οποιαδήποτε από τις δύο.

Τι κάνει στην πραγματικότητα μια καταχώριση λίστας αποκλεισμού

Η διαμόρφωση PKI απαριθμεί αποτυπώματα που ένας κεντρικός υπολογιστής πρέπει να απορρίψει ακόμη και όταν το πιστοποιητικό έχει υπογραφεί νόμιμα και δεν έχει λήξει. Η επιβολή γίνεται τοπικά, απέναντι στη λίστα που φόρτωσε ο υπολογιστής κατά την εκκίνηση της υπηρεσίας. Τίποτα σχετικά με την καταχώριση δεν ταξιδεύει μέσα στο πιστοποιητικό, οπότε ένας ομότιμος δεν μπορεί να μάθει την απόφαση από το διαπιστευτήριο που του δείχνεται. Γι' αυτό ο φάρος δεν παίζει κανέναν ρόλο εδώ: οι φάροι βοηθούν τους ομότιμους να βρίσκουν ο ένας τον άλλον και να αναμεταδίδουν κίνηση όπου μια άμεση διαδρομή αποτυγχάνει. Είναι ένα στρώμα ανακάλυψης και αναμετάδοσης, όχι κανάλι διανομής διαμόρφωσης.

Η ενημέρωση ενός μηχανήματος αλλάζει τις αποφάσεις αυτού του μηχανήματος και αφήνει κάθε άλλον ομότιμο ακριβώς όπως ήταν. Ένας ομότιμος που εμπιστεύεται την αρχή υπογραφής και δεν είδε ποτέ την καταχώριση δεν έχει λόγο να απορρίψει τίποτα. Επομένως η δοκιμή ανάκλησης παρακολουθώντας τον φάρο δεν αποδεικνύει τίποτα, γιατί το στοιχείο που παρακολουθείτε δεν κλήθηκε ποτέ να επιβάλει τη λίστα.

Προσδιορίστε το πιστοποιητικό, όχι τη συσκευή

Χρησιμοποιήστε το αποτύπωμα του διαπιστευτηρίου που σκοπεύετε να απορρίψετε, γιατί ένα όνομα κεντρικού υπολογιστή, μια ετικέτα συσκευής ή μια τρέχουσα διεύθυνση προσδιορίζουν ένα μηχάνημα σήμερα και κάτι άλλο τον επόμενο μήνα. Καμία από αυτές τις συμβολοσειρές δεν εμφανίζεται στη λίστα αποκλεισμού, και καμία δεν επιβιώνει από επανεγκατάσταση. Εκτυπώστε το πιστοποιητικό, διαβάστε το αποτύπωμα και ελέγξτε ότι ανήκει στο διαπιστευτήριο που αποσύρεται και όχι στο αντικαταστάτη του. Η ανάγνωση και των δύο αρχείων έχει σημασία όταν έχει ήδη εκδοθεί αντικαταστάτης, αφού το παλιό και το νέο πιστοποιητικό μπορεί να μοιράζονται όνομα και να διαφέρουν σε κάθε άλλο πεδίο.

Καταγράψτε ποιο αποτύπωμα αποκλείστηκε και πότε, ώστε ένας μεταγενέστερος έλεγχος να ξεχωρίζει μια ολοκληρωμένη αλλαγή από μια επιδιωκόμενη. Σημειώστε επίσης τι δεν κάνει η καταχώριση: δεν ακυρώνει την αρχή υπογραφής και δεν εμποδίζει την αποδοχή ενός μελλοντικού πιστοποιητικού από αυτή την αρχή. Ο αποκλεισμός ενός πιστοποιητικού υπολογιστή και η αντικατάσταση μιας παραβιασμένης αρχής είναι διαφορετικές ενέργειες με διαφορετικές συνέπειες.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Διανείμετέ την όπως κάθε άλλη διαμόρφωση

Αντιμετωπίστε τη λίστα ως διαμόρφωση με μηχανισμό παράδοσης και όχι ως αρχείο που κάποιος επεξεργάζεται όταν το θυμηθεί. Σπρώξτε ολόκληρη τη λίστα αντί για ένα δέλτα, ώστε ένας υπολογιστής που έχασε μια προηγούμενη ενημέρωση να συγκλίνει αντί να συσσωρεύει κενά. Η τεκμηρίωση του Nebula PKI συνιστά ακριβώς αυτό, και η συμβουλή αξίζει να ακολουθηθεί κατά γράμμα αντί να μετατραπεί σε χειροκίνητη διαδικασία.

Επιβεβαιώστε ότι η εκτελούμενη υπηρεσία επαναφόρτωσε το περιεχόμενο, όχι απλώς ότι άλλαξε το αρχείο στον δίσκο. Παρακολουθήστε ποια μηχανήματα εφάρμοσαν την αλλαγή και κρατήστε τη λίστα των εκκρεμών ορατή μέχρι να αδειάσει. Ένας φορητός υπολογιστής κλειστός για μια εβδομάδα είναι ένας ομότιμος που δεν έμαθε ποτέ την απόφαση, και μπορεί να επανασυνδεθεί από δίκτυο που κανείς δεν περίμενε. Καταγράψτε τη μέθοδο παράδοσης δίπλα στο αποτύπωμα, γιατί η επόμενη ανάκληση την ξαναχρησιμοποιεί και στην πρώτη εντοπίζονται τα σφάλματα της διαδικασίας.

Λίστα αποκλεισμού ή εναλλαγή αρχής

Μια καταχώριση λίστας αποκλεισμού είναι στενή: μια ταυτότητα σταματά να λειτουργεί και όλα τα άλλα συνεχίζουν. Η εναλλαγή της αρχής υπογραφής είναι ευρεία: κάθε πιστοποιητικό που εξέδωσε γίνεται μη αξιόπιστο, και κάθε υπολογιστής χρειάζεται νέο διαπιστευτήριο και νέα άγκυρα εμπιστοσύνης. Η πρώτη είναι στοχευμένη ανάκληση και η δεύτερη μετανάστευση, οπότε απαιτούν διαφορετικές εγκρίσεις και διαφορετικά παράθυρα συντήρησης. Ο πίνακας βάζει τις δύο δίπλα δίπλα σε εμβέλεια, κόπο και αναστρεψιμότητα.

Ένας χαμένος φορητός υπολογιστής απαιτεί τη λίστα αποκλεισμού, γιατί η ακτίνα επίπτωσης είναι μία ταυτότητα και η αλλαγή είναι αναστρέψιμη αν αποκλείσατε λάθος αποτύπωμα. Ένα κλειδί αρχής που διέρρευσε απαιτεί εναλλαγή, γιατί η λίστα αποκλεισμού δεν μπορεί να βοηθήσει με πιστοποιητικά που δεν έχουν εκδοθεί ακόμη. Ανάμεσα σε αυτά τα άκρα, ρωτήστε αν το εκτεθειμένο διαπιστευτήριο θα μπορούσε να είχε υπογράψει κάτι άλλο, αφού μια αρχή είναι περισσότερο από έναν υπολογιστή.

Γράψτε την απόφαση πριν από ένα περιστατικό, γιατί η επιλογή υπό πίεση τείνει να παράγει εξ ορισμού την ευρεία επιλογή. Όποια διαδρομή κι αν πάρετε, το υπόλοιπο στοιχείο εργασίας είναι το ίδιο: να αποδείξετε ότι η επιβολή συνέβη στους υπολογιστές που μετράνε. Η καταγραφή του αποτυπώματος και της ημερομηνίας εκείνη τη στιγμή είναι αυτό που καθιστά την απόδειξη δυνατή αργότερα.

Επαληθεύστε την απόρριψη και το υπόλοιπο

Συνδεθείτε από την αποκλεισμένη ταυτότητα και επιβεβαιώστε την αποτυχία, έπειτα συνδεθείτε από έναν εξουσιοδοτημένο ομότιμο και επιβεβαιώστε ότι εξακολουθεί να φτάνει σε ό,τι χρειάζεται. Μια αλλαγή που σπάει τους πάντες δεν είναι επιτυχής ανάκληση. Κάντε και τα δύο από νέες συνεδρίες, γιατί η προσωρινή κατάσταση μπορεί να κρύψει το αποτέλεσμα.

Ελέγξτε αν μια εγκατεστημένη συνεδρία τελειώνει μετά την αλλαγή, και καταγράψτε τη συμπεριφορά για την έκδοση και τη διαμόρφωσή σας αντί να υποθέσετε ότι η επεξεργασία ενός αρχείου τερματίζει κάτι. Η επιλογή disconnect_invalid καλύπτει πελάτες των οποίων τα πιστοποιητικά έχουν λήξει ή είναι άκυρα, οπότε επιβεβαιώστε πώς εφαρμόζεται στην περίπτωσή σας πριν βασιστείτε σε αυτή. Αν ο άμεσος τερματισμός είναι απαίτηση, δοκιμάστε το συγκεκριμένα και καταγράψτε τι παρατηρήσατε. Έπειτα επαναλάβετε τη δοκιμή μετά από επανεκκίνηση, γιατί ένας υπολογιστής που επιβάλλει τη λίστα μόνο μέχρι την επόμενη επανεκκίνηση έχει πρόβλημα παράδοσης που η πρώτη δοκιμή έκρυψε. Ένας υγιής φάρος σας λέει ότι η ανακάλυψη λειτουργεί, όχι ότι κάποιος ομότιμος εφάρμοσε πολιτική.