Nebula bezonas tri dosierojn: CA, gastiga atestilo, gastiga ŝlosilo

Se vi donas al iu dosierujon Nebula, tiu kutime kopios ĉion, inkluzive la dosieron, kiu neniam forlasu vian laborejon. La konfuzo kompreneblas, ĉar la tri dosieroj en la PKI-bloko de gastiganto aspektas similaj kaj du el ili estas atestiloj. Ĉiu respondas al malsama demando, kaj nur du el ili apartenas al la nodo. Klasifiku ilin laŭ rolo antaŭ ol vi kopias ion ajn.

Tri dosieroj, tri malsamaj taskoj

La CA-atestilo estas fidanakro: ĝi diras al gastiganto, kiujn aŭtoritatojn fidi kiam alia gastiganto prezentas sian identecon. La gastiga atestilo estas la propra legitimilo de la nodo, subskribita de tiu aŭtoritato. La gastiga ŝlosilo estas la responda privata duono, kaj ĝi apartenas al precize unu maŝino. Nodo kun la CA-atestilo kaj sia propra paro povas aliĝi al la overlay kaj pruvi, kiu ĝi estas. Nodo kun la ŝlosilo de iu alia ankaŭ povas ŝajnigi esti tiu alia, kaj tio estas la fuŝo, kiun ĉi tiu aranĝo celas malhelpi.

Kopii funkciantan gastigan dosierujon al dua maŝino do ne estas fuŝvojo. Ĝi estas duobligita identeco kun antaŭvidebla rezulto.

La subskriba ŝlosilo neniam vojaĝas

La CA-subskriba ŝlosilo ne estas parto de iu gastiga agordo. Ĝi stampas novajn identecojn, kaj kiu ajn tenas ĝin povas krei atestilon por iu ajn overlay-adreso kaj iu ajn grupo. Samniveluloj bezonas nur la publikan CA-atestilon por kontroli subskribojn, do la privata duono tute ne havas rolon sur kliento. Konservu ĝin sur la maŝino, kie atestiloj estas eldonataj, kaj traktu hazardan kopion kiel incidenton, ne kiel oportunon.

Se pluraj homoj devas eldoni atestilojn, donu al ili procezon anstataŭ kopion de la ŝlosilo. Komunigita subskriba ŝlosilo sur tekkomputilo estas aŭtoritato, kiun neniu povas revizii aŭ revoki.

Kio estas ene de gastiga atestilo

Gastiga atestilo ligas al ŝlosilo pli ol dosiernomon. Ĝi portas la overlay-adreson de la nodo, ĝian nomon kaj ĝiajn grupanojn, ĉio subskribita por ke samnivelulo povu decidi ĉu akcepti ĝin. Tial renomigi gastiganton signifas eldoni novan atestilon, ne redakti agordan linion.

nebula-cert print -path host.crt montras, kio efektive estis eldonita. Legu ĝin antaŭ ol supozi, ke atestilo portas la adreson, kiun vi intencis.

Reŝargo ne ĉiam sufiĉas

Kelkaj PKI-agordoj reŝargiĝas per signalo, kaj kelkaj ne. Atestilo, kies overlay-adreso ŝanĝiĝis estas la klasika kazo, kiu bezonas restartigon de la procezo anstataŭ reŝargon.

Konfirmu, kiujn vojojn la kuranta procezo efektive malfermis, ne nur kiujn vojojn la agorda dosiero nomas. Poste ŝanĝu unu legitimilon, kontrolu konekteblecon kaj protokolojn, kaj nur poste tuŝu la sekvan. Reŝargo, kiu ŝajnas sukcesa dum la malnova atestilo restas en memoro, produktas malkongruon, kiu aspektas kiel enkursiga problemo. Restartigi estas malmultekosta; sencimigi identecon, kiun duono de la overlay ankoraŭ vidas la malnovan manieron, ne estas.

Forigi identecon postulas blokliston

Anstataŭigi perditan aŭ malkaŝitan legitimilon havas du duonojn. La nova atestilo restarigas aliron, kaj la malnova identeco devas ĉesi esti akceptata. Tiuj estas apartaj operacioj, kaj fari nur la unuan lasas la kompromititan legitimilon valida.

La bloklisto estas dosiero, kiun vi disdonas al gastigantoj, ne io, kion lighthouse sendas memstare. Planu, kiel ĝi atingas ĉiun nodon, inkluzive tiujn, kiuj estas hodiaŭ senkonektaj, kaj notu, kiujn fingrospurojn vi blokis. Rotaciu la ŝlosilon sur la eldona maŝino kaj konservu la detalojn de la nova atestilo kun la gastiga registro. Revoko, kiu ekzistas nur sur la maŝino, kiun vi redaktis, ne estas revoko.