Nebulako blokeo-zerrenda: banatu ezazu, itsasargiak ez du egingo
Blokeo-zerrendako sarrera bat berau kargatu duten ostalaritan bakarrik aplikatzen da. Konparatu zerrenda banatzea CA biratzearekin, eta gero egiaztatu ukatutako pare bat eta funtzionatzen duen beste bat.
Blokeo-zerrendaren betearazpena egiaztapena egiten duen ostalariaren propietatea da, ez egiaztatzen den ziurtagiriarena. Sarrera inoiz kargatu ez duen makinak identitatea onartzen jarraitzen du, eta esku-ematean ez dago ezer bi pare ados ez daudela ohartarazten dizunik. Kredentzial bat agerian uzteko konponbide merkea eta garestia irismenean eta atzeragarritasunean desberdinak dira, beraz, hautatu nahita. Hurrengo atalek sarrerak zer egiten duen, non entregatu behar den, noiz den biratzea erantzun hobea eta nola frogatu bietatik edozein funtzionatu zuela azaltzen dute.
Zer egiten duen blokeo-zerrendako sarrera batek benetan
PKI konfigurazioak ostalariak baztertu behar dituen hatz-markak zerrendatzen ditu, ziurtagiria balioz sinatuta eta iraungi gabe egon arren. Betearazpena tokian bertan gertatzen da, ostalari horrek zerbitzua hastean kargatu zuen zerrendaren aurka. Sarrerari buruz ezer ez da ziurtagiriaren barruan bidaiatzen, beraz pare batek ezin du erabakia ikasi erakusten zaion kredentzialetik. Horregatik itsasargiak ez du inolako rolik hemen: itsasargiek pareei elkar aurkitzen eta bide zuzenak huts egiten duen lekuan trafikoa errepasatzen laguntzen diete. Aurkikuntza eta errepasoko geruza dira, ez konfigurazioaren banaketa-kanala.
Makina bat eguneratzeak makina horren erabakiak aldatzen ditu eta beste pare bakoitza zegoen bezala uzten du. Sinadura-agintaritzan konfiantza duen eta sarrera inoiz ikusi ez duen pare batek ez du ezer baztertzeko arrazoirik. Beraz, itsasargiari begiratuz ezeztapena probatzeak ez du ezer frogatzen, ikusten ari zaren osagaiari inoiz ez zaiolako zerrenda betearazteko eskatu.
Identifikatu ziurtagiria, ez gailua
Erabili baztertu nahi duzun kredentzialaren hatz-marka, ostalari-izen batek, gailu-etiketa batek edo uneko helbide batek makina bat identifikatzen dutelako gaur eta beste zerbait datorren hilabetean. Kate horietako bat bera ere ez da blokeo-zerrendan agertzen, eta bat bera ere ez da berrinstalazio batetik irteten. Inprimatu ziurtagiria, irakurri hatz-marka eta egiaztatu erretiratzen den kredentzialarena dela, ez haren ordezkoarena. Bi fitxategiak irakurtzea garrantzitsua da ordezkoa jada jaulki denean, ziurtagiri zaharrak eta berriak izen bat partekatu dezaketelako eta beste eremu guztietan desberdinak izan daitezkeelako.
Erregistratu zein hatz-marka blokeatu zen eta noiz, geroagoko auditoria batek amaitutako aldaketa bat asmoetako batetik bereiz dezan. Ohartu zer ez duen egiten sarrerak ere: ez du sinadura-agintaritza baliogabetzen eta ez du eragozten agintaritza horren etorkizuneko ziurtagiri bat onartzea. Ostalari-ziurtagiri bat blokeatzea eta konprometitutako agintaritza bat ordeztuztea eragin desberdineko eragiketa desberdinak dira.
nebula-cert print -path /etc/nebula/host.crt
pki:
blocklist:
- "a1b2c3d4e5f6"Banatu ezazu beste edozein konfigurazio bezala
Hartu zerrenda entrega-mekanismoa duen konfigurazio gisa, norbaiti gogoratzen zaionean editatzen duen fitxategi gisa hartu beharrean. Bultzatu zerrenda osoa, delta bat ez, aurreko eguneratze bat galdu zuen ostalaria hutsuneak pilatu ordez hurbil dadin. Nebula PKI dokumentazioak zehazki hori gomendatzen du, eta aholkua hitzez hitz jarraitzea merezi du, prozesu manual bihurtu beharrean.
Egiaztatu martxan dagoen zerbitzuak edukia berriz kargatu duela, diskoan fitxategia aldatu dela soilik ez. Jarraitu zein makinak aplikatu zuten aldaketa eta eutsi zain dauden zerrenda ikusgai hutsik egon arte. Astebetez itxita egon den ordenagailu eramangarria inoiz erabakia ikasi ez zuen pare bat da, eta inork espero ez zuen sare batetik berriz konekta daiteke. Erregistratu entrega-metodoa hatz-markaren ondoan, hurrengo ezeztapenak berrerabiltzen duelako eta lehenengoan prozesua arazten delako.
Blokeo-zerrenda edo agintaritzaren biratzea
Blokeo-zerrendako sarrera estua da: identitate bat funtzionatzeari uzten dio eta beste guztiak jarraitzen du. Sinadura-agintaritza biratzea zabala da: jaulkitako ziurtagiri bakoitza konfiantzagabetu egiten da eta ostalari bakoitzak kredentzial berri bat eta konfiantza-aingura berri bat behar ditu. Lehena ezeztapen selektiboa da eta bigarrena migrazioa, beraz onarpen desberdinak eta mantentze-leiho desberdinak behar dituzte. Taulak biak elkarren ondoan jartzen ditu irismenean, ahaleginean eta atzeragarritasunean.
| Question | Blocklist entry | Authority rotation |
|---|---|---|
| What stops working | One identity | Every certificate from that authority |
| Fleet work | Push one file and confirm a reload | New credentials and a new trust anchor everywhere |
| Reversible | Yes, remove the line | No, the old authority stays distrusted |
| Fits | A lost or stolen device | A leaked authority key |
Galdutako ordenagailu eramangarriak blokeo-zerrenda eskatzen du, inpaktu-erradioa identitate bakarra delako eta aldaketa atzeragarria delako hatz-marka okerra blokeatu baduzu. Ihes egindako agintaritza-gako batek biratzea eskatzen du, blokeo-zerrendak ezin duelako lagundu oraindik jaulki gabeko ziurtagiriekin. Mutur horien artean, galdetu agerian geratu zen kredentzialak beste zerbait sinatu zezakeen, agintaritza ostalari bat baino gehiago delako.
Idatzi erabakia gertakari baten aurretik, presiopean hautatzeak lehenespenez aukera zabala sortu ohi duelako. Zein bide hartu ere, geratzen den lan-elementua berbera da: frogatzea betearazpena garrantzia duten ostalaritan gertatu zela. Une horretan hatz-marka eta data erregistratzea da froga geroago posible egiten duena.
Egiaztatu ukapena eta gainerakoa
Konektatu blokeatutako identitatetik eta egiaztatu hutsegitea, gero konektatu baimendutako pare batetik eta egiaztatu behar duenera iristen jarraitzen duela. Denak hausten dituen aldaketa ez da ezeztapen arrakastatsua. Egin biak saio berrietatik, cachean gordetako egoerak emaitza ezkuta dezakeelako.
Egiaztatu ezarritako saio bat aldatzearen ondoren amaitzen den, eta idatzi portaera zure bertsiorako eta konfiguraziorako, fitxategi bat editatzeak zerbait amaitzen duela suposatu beharrean. disconnect_invalid aukerak iraungitako edo baliogabeko ziurtagiriak dituzten bezeroak estaltzen ditu, beraz egiaztatu zure kasuan nola aplikatzen den harekin fidatu aurretik. Berehalako amaiera baldintza bada, probatu hori zehazki eta idatzi behatutakoa. Gero errepikatu proba berrabiarazi ondoren, zerrenda hurrengo abiora arte soilik betearazten duen ostalariak lehen probak ezkutatu zuen entrega-arazo bat duelako. Itsasargi osasuntsu batek aurkikuntzak funtzionatzen duela esaten dizu, ez inolako pare batek politika bat aplikatu duenik.