Nebula bloklisto: disdonu ĝin, la lumturo ne faros tion

La plenumado de bloklisto estas eco de la gastiganto, kiu faras la kontrolon, ne de la atestilo, kiu estas kontrolata. Maŝino, kiu neniam ŝargis la eron, daŭre akceptas la identecon, kaj nenio en la manpremo avertas vin, ke du samtavoloj malkonsentas. La malmultekosta solvo kaj la multekosta solvo por unu elmetita akreditaĵo diferencas laŭ atingo kaj laŭ reigeblo, do elektu konscie. La sekvaj sekcioj pritraktas, kion faras la ero, kien ĝi devas esti liverata, kiam rotacio estas la pli bona respondo, kaj kiel pruvi, ke unu el la du funkciis.

Kion bloklista ero vere faras

La PKI-agordo listigas fingrospurojn, kiujn gastiganto devas malakcepti eĉ kiam la atestilo estas valide subskribita kaj neeksvalidiĝinta. La plenumado okazas loke, kontraŭ la listo, kiun tiu gastiganto ŝargis kiam la servo ekfunkciis. Nenio pri la ero vojaĝas ene de la atestilo, do samtavolo ne povas lerni la decidon el la akreditaĵo montrata al ĝi. Tial lumturo ludas neniun rolon ĉi tie: lumturoj helpas samtavolojn trovi unu la alian kaj plusendi trafikon, kie rekta vojo malsukcesas. Ili estas tavolo de malkovro kaj plusendo, ne kanalo por disdono de agordo.

Ĝisdatigi unu maŝinon ŝanĝas la decidojn de tiu maŝino kaj lasas ĉiun alian samtavolon precize kiel ĝi estis. Samtavolo, kiu fidas la subskriban aŭtoritaton kaj neniam vidis la eron, havas neniun kaŭzon malakcepti ion ajn. Do testi revokadon per observado de la lumturo pruvas nenion, ĉar la komponanto, kiun vi observas, neniam estis petita plenumi la liston.

Identigu la atestilon, ne la aparaton

Uzu la fingrospuron de la akreditaĵo, kiun vi intencas malakcepti, ĉar gastigantnomo, aparata etikedo aŭ nuna adreso identigas maŝinon hodiaŭ kaj ion alian venontmonate. Neniu el tiuj ĉenoj aperas en la bloklisto, kaj neniu postvivas reinstaladon. Presu la atestilon, legu la fingrospuron, kaj kontrolu, ke ĝi apartenas al la akreditaĵo forigata, ne al ĝia anstataŭanto. Legi ambaŭ dosierojn gravas, kiam anstataŭanto jam estas eligita, ĉar la malnova kaj la nova atestiloj povas kunhavigi nomon kaj malsami en ĉiu alia kampo.

Notu, kiu fingrospuro estis blokita kaj kiam, por ke posta revizio apartigu plenumitan ŝanĝon de intencita. Rimarku ankaŭ, kion la ero ne faras: ĝi ne malvalidigas la subskriban aŭtoritaton, kaj ĝi ne malhelpas akcepton de estonta atestilo de tiu aŭtoritato. Bloki gastigantan atestilon kaj anstataŭigi kompromititan aŭtoritaton estas malsamaj operacioj kun malsamaj sekvoj.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Disdonu ĝin kiel ĉiun alian agordon

Traktu la liston kiel agordon kun livera mekanismo, ne kiel dosieron, kiun iu redaktas kiam li memoras. Puŝu la tutan liston anstataŭ delton, por ke gastiganto, kiu maltrafis pli fruan ĝisdatigon, konverĝu anstataŭ amasigi mankojn. La Nebula PKI-dokumentaro rekomendas ĝuste tion, kaj la konsilo indas esti sekvata laŭlitere anstataŭ esti reformulita en manan procezon.

Konfirmu, ke la kuranta servo reŝargis la enhavon, ne nur ke la dosiero sur la disko ŝanĝiĝis. Spuru, kiuj maŝinoj aplikis la ŝanĝon, kaj tenu la restantan liston videbla ĝis ĝi malpleniĝos. Tekkomputilo fermita dum semajno estas samtavolo, kiu neniam lernis la decidon, kaj ĝi povas rekonektiĝi el reto, kiun neniu atendis. Notu la liveran metodon apud la fingrospuro, ĉar la sekva revokado reuzas ĝin kaj ĉe la unua la procezo estas sencimigata.

Bloklisto aŭ rotacio de aŭtoritato

Bloklista ero estas mallarĝa: unu identeco ĉesas funkcii kaj ĉio alia daŭras. Rotacii la subskriban aŭtoritaton estas larĝe: ĉiu atestilo, kiun ĝi eligis, fariĝas nefidinda, kaj ĉiu gastiganto bezonas novan akreditaĵon kaj novan fidan ankron. La unua estas celita revokado kaj la dua estas migrado, do ili bezonas malsamajn aprobojn kaj malsamajn bontenajn fenestrojn. La tabelo metas la du flanko ĉe flanko laŭ atingo, peno kaj reigeblo.

Perdita tekkomputilo postulas la blokliston, ĉar la efika radiuso estas unu identeco kaj la ŝanĝo estas reigebla se vi blokis la malĝustan fingrospuron. Likiĝinta aŭtoritata ŝlosilo postulas rotacion, ĉar la bloklisto ne povas helpi pri atestiloj ankoraŭ ne eligitaj. Inter tiuj ekstremoj, demandu, ĉu la elmetita akreditaĵo povintus subskribi ion alian, ĉar aŭtoritato estas pli ol unu gastiganto.

Skribu la decidon antaŭ okazaĵo, ĉar elekto sub premo emas defaŭlte produkti la larĝan opcion. Kiun ajn vojon vi prenos, la restanta laborero estas identa: pruvi, ke la plenumado okazis sur la gastigantoj, kiuj gravas. Noti la fingrospuron kaj la daton en tiu momento estas tio, kio ebligas la pruvon poste.

Kontrolu la malakcepton kaj la reston

Konektiĝu el la blokita identeco kaj konfirmu la malsukceson, poste konektiĝu el rajtigita samtavolo kaj konfirmu, ke ĝi ankoraŭ atingas tion, kion ĝi bezonas. Ŝanĝo, kiu rompas ĉiujn, ne estas sukcesa revokado. Faru ambaŭ el novaj seancoj, ĉar kaŝmemorita stato povas kaŝi la rezulton.

Kontrolu, ĉu establita seanco finiĝas post la ŝanĝo, kaj notu la konduton por via versio kaj agordo anstataŭ supozi, ke redaktado de dosiero finigas ion. La opcio disconnect_invalid kovras klientojn, kies atestiloj eksvalidiĝis aŭ estas nevalidaj, do konfirmu, kiel ĝi aplikiĝas al via kazo antaŭ ol fidi ĝin. Se tuja finigo estas postulo, testu tion specife kaj notu, kion vi observis. Poste ripetu la teston post restartigo, ĉar gastiganto, kiu plenumas la liston nur ĝis sia sekva restartigo, havas liveran problemon, kiun la unua testo kaŝis. Sana lumturo diras al vi, ke malkovro funkcias, ne ke iu samtavolo aplikis politikon.