Το Nebula χρειάζεται τρία αρχεία: CA, πιστοποιητικό host, κλειδί host

Αν δώσετε σε κάποιον έναν κατάλογο Nebula, συνήθως θα αντιγράψει τα πάντα, μαζί με το αρχείο που δεν πρέπει ποτέ να φύγει από τον σταθμό εργασίας σας. Η σύγχυση είναι κατανοητή, γιατί τα τρία αρχεία στο μπλοκ PKI ενός host μοιάζουν μεταξύ τους και δύο από αυτά είναι πιστοποιητικά. Κάθε ένα απαντά σε διαφορετικό ερώτημα, και μόνο δύο ανήκουν στον κόμβο. Ταξινομήστε τα κατά ρόλο πριν αντιγράψετε οτιδήποτε.

Τρία αρχεία, τρεις διαφορετικές δουλειές

Το πιστοποιητικό CA είναι άγκυρα εμπιστοσύνης: λέει σε έναν host σε ποιες αρχές να πιστεύει όταν ένας άλλος host παρουσιάζει την ταυτότητά του. Το πιστοποιητικό host είναι το δικό του διαπιστευτήριο του κόμβου, υπογεγραμμένο από αυτή την αρχή. Το κλειδί host είναι το αντίστοιχο ιδιωτικό μισό, και ανήκει σε ακριβώς ένα μηχάνημα. Ένας κόμβος με το πιστοποιητικό CA και το δικό του ζεύγος μπορεί να μπει στο overlay και να αποδείξει ποιος είναι. Ένας κόμβος με το κλειδί κάποιου άλλου μπορεί επίσης να ισχυριστεί ότι είναι αυτός ο κάποιος, και αυτή είναι η αστοχία που υπάρχει για να αποτρέπει αυτή η διάταξη.

Το αντίγραφο ενός λειτουργικού καταλόγου host σε δεύτερο μηχάνημα δεν είναι επομένως συντόμευση. Είναι διπλή ταυτότητα με προβλέψιμο αποτέλεσμα.

Το κλειδί υπογραφής δεν ταξιδεύει ποτέ

Το κλειδί υπογραφής της CA δεν είναι μέρος καμίας διαμόρφωσης host. Δημιουργεί νέες ταυτότητες, και όποιος το κρατά μπορεί να εκδώσει πιστοποιητικό για οποιαδήποτε διεύθυνση overlay και οποιαδήποτε ομάδα. Οι ομότιμοι χρειάζονται μόνο το δημόσιο πιστοποιητικό CA για να επαληθεύουν υπογραφές, άρα το ιδιωτικό μισό δεν έχει κανέναν ρόλο σε έναν πελάτη. Κρατήστε το στο μηχάνημα όπου εκδίδονται τα πιστοποιητικά, και αντιμετωπίστε ένα τυχαίο αντίγραφο ως περιστατικό, όχι ως διευκόλυνση.

Αν πολλά άτομα πρέπει να εκδίδουν πιστοποιητικά, δώστε τους μια διαδικασία αντί για αντίγραφο του κλειδιού. Ένα κοινόχρηστο κλειδί υπογραφής σε φορητό υπολογιστή είναι μια αρχή που κανείς δεν μπορεί να ελέγξει ή να ανακαλέσει.

Τι περιέχει ένα πιστοποιητικό host

Ένα πιστοποιητικό host δεσμεύει με ένα κλειδί κάτι περισσότερο από ένα όνομα αρχείου. Μεταφέρει τη διεύθυνση overlay του κόμβου, το όνομά του και τη συμμετοχή του σε ομάδα, όλα υπογεγραμμένα ώστε ένας ομότιμος να αποφασίσει αν θα το δεχτεί. Γι' αυτό η μετονομασία ενός host σημαίνει έκδοση νέου πιστοποιητικού και όχι επεξεργασία μιας γραμμής διαμόρφωσης.

nebula-cert print -path host.crt δείχνει τι εκδόθηκε πραγματικά. Διαβάστε το πριν υποθέσετε ότι το πιστοποιητικό φέρει τη διεύθυνση που σκοπεύατε.

Η επαναφόρτωση δεν αρκεί πάντα

Ορισμένες ρυθμίσεις PKI επαναφορτώνονται με σήμα, και ορισμένες όχι. Ένα πιστοποιητικό του οποίου η διεύθυνση overlay άλλαξε είναι η κλασική περίπτωση που απαιτεί επανεκκίνηση της διεργασίας και όχι επαναφόρτωση.

Επιβεβαιώστε ποιες διαδρομές άνοιξε πραγματικά η διεργασία που εκτελείται, όχι μόνο ποιες διαδρομές αναφέρει το αρχείο διαμόρφωσης. Έπειτα αλλάξτε ένα διαπιστευτήριο, επαληθεύστε τη συνδεσιμότητα και τα αρχεία καταγραφής, και μόνο τότε πιάστε το επόμενο. Μια επαναφόρτωση που φαίνεται επιτυχής ενώ το παλιό πιστοποιητικό μένει στη μνήμη παράγει μια ασυμφωνία που μοιάζει με πρόβλημα δρομολόγησης. Η επανεκκίνηση είναι φθηνή, η αποσφαλμάτωση μιας ταυτότητας που το μισό overlay βλέπει ακόμη με τον παλιό τρόπο δεν είναι.

Η αφαίρεση ταυτότητας απαιτεί λίστα αποκλεισμού

Η αντικατάσταση ενός χαμένου ή εκτεθειμένου διαπιστευτηρίου έχει δύο μισά. Το νέο πιστοποιητικό αποκαθιστά την πρόσβαση, και η παλιά ταυτότητα πρέπει να πάψει να γίνεται δεκτή. Είναι χωριστές ενέργειες, και κάνοντας μόνο την πρώτη το εκτεθειμένο διαπιστευτήριο παραμένει έγκυρο.

Η λίστα αποκλεισμού είναι ένα αρχείο που διανέμετε στους hosts, όχι κάτι που ένα lighthouse στέλνει μόνο του. Σχεδιάστε πώς φτάνει σε κάθε κόμβο, μαζί με όσους είναι εκτός σύνδεσης σήμερα, και καταγράψτε ποια αποτυπώματα αποκλείσατε. Αλλάξτε το κλειδί στο μηχάνημα έκδοσης και κρατήστε τα στοιχεία του νέου πιστοποιητικού μαζί με την εγγραφή του host. Μια ανάκληση που υπάρχει μόνο στο μηχάνημα που επεξεργαστήκατε δεν είναι ανάκληση.