Nebularen ziurtagiria berriz kargatzeak ez zuen IPa aldatu: horra zergatia
Berriz kargatzeak ostalariaren kredentziala berrirakurtzen du overlay helbidea berdin jarraitzen duenean soilik. Helbidea aldatzeak berrabiaraztea eta sare aldaketa esan nahi du, ez berriro saiatzea.
Overlay helbide ezberdina duen ostalari ziurtagiri berria jaulkitzen duzu, fitxategi zaharraren gainean kopiatzen duzu, berriz karga bidaltzen duzu, eta ostalariak lehen zuen helbidean erantzuten jarraitzen du. Erreflexua berriz kargak huts egin duela edo fitxategi okerra irakurri dela pentsatzea da. Normalean ez zen bietako bat ere gertatu: exekutatzen ari den prozesuak nahita mantendu zuen jada zuen identitatea, ordezkapenak berriz kargak aplikatu ezin duen zerbait aldatu zuelako.
Nebularen PKI berriz kargatzeko euskarria muga horrekin dokumentatuta dago, eta erraza da hori ez ikustea dokumentazio berak berriz karga beste aldaketa batzuetarako funtzionatzen duela erakusten duenean.
Zer irakurtzen duen berriro berriz kargatzeak
Ostalari ziurtagiria ez da SSH gakoa bezalako kredentzial soila. Overlay helbidea, ostalariaren izena, talde kidetzak eta baliozkotasun leihoa daramatza, eta hori guztia CAren sinadurak lotzen du. Demonioak sinatutako eduki hori erabiltzen du nola aurkezten den eta zein arau aplikatzen zaizkion erabakitzeko.
Berriz kargatzeak prozesuari kredentzial berritua hartzeko aukera ematen dio, bere tunelak galdu gabe, eta hori baliotsua da errutinazko errotaziorako: helbide bera, izen bera, talde berak, geroagoko iraungitzea. Murrizketa identitateak berdin jarraitu behar duela da. Aldatu overlay helbidea eta berriz kargatzeko bideak ezin du aplikatu, helbidea exekutatzen ari den instantziak jada bere gain hartu zuenaren parte delako.
Beraz, ikusi zenuen portaera dokumentatutako muga bere lana egiten ari da, ez isiliko hutsegitea. Diskoan dagoen fitxategia berria da; memorian dagoen identitatea zaharra da; prozesuak ez du berrabiarazi gabe aldea adosteko modu onarturik.
Helbidea, izena eta taldeak identitate bakarra dira
Lagungarria da ziurtagiria erregistro bakartzat pentsatzea, independenteki editatu daitezkeen eremuen multzo gisa baino. Helbidea mugitzea ez da hobespen bat aldatzea bezalakoa, helbidea beste ostalarien peer konfigurazioetan, zerbitzu loturetan eta identitatearen aurka idatzitako politiketako agertzen delako.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Taldeek beren lerroa merezi dute, nahasmen beraren bertsio isilagoa eragiten dutelako. Helbidea mantendu baina taldez aldatzen duen ostalariek, berrabiarazi ondoren, beste zerbitzu batzuetara irits daiteke, eta helbide zaharrari ping egiten dion proba oso osasuntsu ikusiko da, azpian sarbide erabakiak aldatu diren arren. Arau batek estalitako zerbitzu bat egiaztatu, ez soilik irisgarritasuna. Horixe da tunela baieztatzearen eta politika baieztatzearen arteko aldea.
Konparatu kargatutako ziurtagiria ordezkapenarekin
Demonioak fitxategia baztertu duela pentsatu aurretik, irakurri biak. Inprimatu kargatu nahi duzun ziurtagiria eta egiaztatu aldatu zenituela uste duzun eremuak, gero egiaztatu exekutatzen ari den konfigurazioak bide horretara seinalatzen duela eta ez beste nonbaiteko kopia batera.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Prozesuaren argumentuek uste baino gehiago balio dute. -config /etc/nebula/config.yml pasatzen duen unitateak fitxategi horren pki.cert sarrera irakurtzen du, eta aldi baterako direktorioan instalatutako ziurtagiriak ez du ezer eragiten. Egiaztatu exekutatzen ari den komando lerroko bidea, eta ez jarraitu zenuen dokumentazioko bidea. Biak ezberdinak badira, arazoa aurkitu duzu ziurtagiria ukitu gabe.
Ziurtagiri berriak helbide ezberdina badu eta prozesuak zaharra mantendu badu, orain azalpena duzu, ez misterioa. Berrabiarazi onargarria bada, eta tratatu helbide aldaketa sare aldaketa planifikatu gisa, ez ustekabeko gisa.
Helbide aldaketa sare aldaketa da
Planifikatu makina bat mugituko bazenu bezala. Beste ostalariek helbide zaharra beren konfigurazioan finkatu dezakete, zerbitzuek berariaz hari lotu dakizkioke, eta suebaki arauak haren aurka idatzita egon daitezke. Ziurtagiria aldatzeak ostalaria mugitzen du, eta ostalaria mugitzeak beste nonbaiteko suposizioak baliogabetzen ditu.
Mantendu bigarren kudeaketa bide bat eskuragarri hori egiten duzun bitartean, etenarazten ari zaren konexioa overlay konexioa izan baitaiteke. Apurtzear dagoen tunelaren gainetik egitea bost minutuko aldaketa toki bisita bihurtzeko modu klasikoa da.
Berrabiaraztea onargarria den ostalariak egiten duenaren araberakoa da, eta hori plangintza kontua da, ez teknikoa. Hautazkoa ez dena berrabiarazte eskakizuna aitortzea da, berriz karga bosgarren aldiz bidali beharrean.
Erretiratu kredentzial zaharra bereizita
Makineria bakarrean ordezkapen bat instalatzeak peer bakoitza jada ezagutzen duen kredentzialarekiko konfiantzan uzten du. Aldaketaren arrazoia konpromisoa bazen, identitate zaharra konfiantza edo blokeo zerrendaren prozeduraren bidez erretiratu behar da, peer-ek benetan gaitzets dezaten.
Berezko egiaztapena duen urrats aparta da: egiaztatu beste ostalari batetik identitate zaharra jada ez dela funtzionatzen, fitxategi berriak lana egin zuela pentsatu beharrean. Nebularen PKI konfigurazio dokumentazioak berriz karga daitezkeen ezarpenak eta hemen deskribatutako helbide muga biltzen ditu, eta merezi du osorik irakurtzea ekoizpeneko ezer errotatu aurretik.