Nebula vajab kolme faili: CA-sertifikaat, hosti sertifikaat, hosti võti

Kui annad kellelegi Nebula kataloogi, kopeerib ta tavaliselt kõik, sealhulgas faili, mis ei tohiks kunagi sinu tööjaamast lahkuda. Segadus on mõistetav, sest hosti PKI-plokis olevad kolm faili sarnanevad ja kaks neist on sertifikaadid. Igaüks vastab erinevale küsimusele ja ainult kaks neist kuuluvad sõlmele. Sorteeri need enne kopeerimist rolli järgi.

Kolm faili, kolm erinevat tööd

CA-sertifikaat on usaldusankur: see ütleb hostile, milliseid asutusi usaldada, kui teine host esitab oma identiteedi. Hosti sertifikaat on sõlme enda tõend, mille on allkirjastanud see asutus. Hosti võti on vastav privaatne pool ja kuulub täpselt ühele masinale. Sõlm, millel on CA-sertifikaat ja oma paar, saab overlayga liituda ja tõestada, kes ta on. Sõlm, millel on kellegi teise võti, saab samuti esineda selle teise isikuna, ja see ongi rike, mida see paigutus ära hoidma peab.

Töötava hosti kataloogi kopeerimine teisele masinale ei ole seega otsetee. See on dubleeritud identiteet etteaimatava tulemusega.

Allkirjastamisvõti ei reisi kunagi

CA allkirjastamisvõti ei kuulu ühegi hosti konfiguratsiooni. See loob uusi identiteete ja selle hoidja saab välja anda sertifikaadi ükskõik millisele overlay-aadressile ja ükskõik millisele grupile. Partnerid vajavad allkirjade kontrollimiseks ainult avalikku CA-sertifikaati, seega privaatsel poolel pole kliendil üldse rolli. Hoia seda masinas, kus sertifikaate välja antakse, ja käsitle juhuslikku koopiat intsidendina, mitte mugavusena.

Kui sertifikaate peavad välja andma mitmed inimesed, anna neile protsess, mitte võtme koopia. Sülearvutis jagatud allkirjastamisvõti on volitus, mida keegi ei saa auditeerida ega tühistada.

Mis on hosti sertifikaadi sees

Hosti sertifikaat seob võtmega rohkem kui failinime. See kannab sõlme overlay-aadressi, nime ja grupiliikmelisust, kõik allkirjastatud, et partner saaks otsustada, kas selle vastu võtta. Seetõttu tähendab hosti ümbernimetamine uue sertifikaadi väljaandmist, mitte konfiguratsioonirea muutmist.

nebula-cert print -path host.crt näitab, mis tegelikult välja anti. Loe seda enne, kui eeldad, et sertifikaat kannab kavatsetud aadressi.

Uuesti laadimine ei ole alati piisav

Mõned PKI-seaded laaditakse signaali peale uuesti, mõned mitte. Sertifikaat, mille overlay-aadress on muutunud on klassikaline juhtum, mis nõuab protsessi taaskäivitamist, mitte uuesti laadimist.

Kontrolli, millised teed töötav protsess tegelikult avas, mitte ainult milliseid teid konfiguratsioonifail nimetab. Seejärel vaheta üks tõend, kontrolli ühendust ja logisid ning alles siis liigu järgmise juurde. Uuesti laadimine, mis näib õnnestuvat, samal ajal kui vana sertifikaat jääb mällu, tekitab lahknevuse, mis näeb välja nagu marsruutimisprobleem. Taaskäivitamine on odav; identiteedi silumine, mida pool overlayd näeb endiselt vanaviisi, ei ole.

Identiteedi eemaldamine nõuab blokeerimisnimekirja

Kaotatud või paljastatud tõendi asendamisel on kaks poolt. Uus sertifikaat taastab juurdepääsu ja vana identiteet peab lakkama olemast aktsepteeritud. Need on eraldi toimingud ja ainult esimese tegemine jätab kompromiteeritud tõendi kehtivaks.

Blokeerimisnimekiri on fail, mille sa hostidele jagad, mitte midagi, mida lighthouse ise saadab. Planeeri, kuidas see jõuab igasse sõlme, sealhulgas nendesse, mis on täna võrgust väljas, ja pane kirja, millised sõrmejäljed blokeerisid. Vaheta võti väljaandvas masinas ja hoia uue sertifikaadi andmeid hosti kirje juures. Tühistamine, mis on olemas ainult masinas, mida toimetasid, ei ole tühistamine.