Nebula به سه فایل نیاز دارد: CA، گواهی میزبان، کلید میزبان

اگر به کسی یک پوشه Nebula بدهید، معمولاً همه‌چیز را کپی می‌کند، از جمله فایلی که هرگز نباید از ایستگاه کاری شما بیرون برود. سردرگمی قابل درک است، چون سه فایل در بلوک PKI یک میزبان شبیه هم هستند و دو تای آنها گواهی‌اند. هر یک به پرسش دیگری پاسخ می‌دهد و تنها دو تای آنها به گره تعلق دارند. پیش از کپی کردن هر چیزی، آنها را بر اساس نقش مرتب کنید.

سه فایل، سه کار متفاوت

گواهی CA یک لنگر اعتماد است: به میزبان می‌گوید وقتی میزبان دیگری هویت خود را ارائه می‌کند به کدام مراجع اعتماد کند. گواهی میزبان اعتبارنامه خود گره است که همان مرجع آن را امضا کرده است. کلید میزبان نیمه خصوصی متناظر است و دقیقاً به یک ماشین تعلق دارد. گره‌ای که گواهی CA و جفت خودش را دارد می‌تواند به overlay بپیوندد و ثابت کند کیست. گره‌ای که کلید کس دیگری را دارد نیز می‌تواند خود را همان شخص جا بزند، و این همان خطایی است که این چیدمان برای جلوگیری از آن وجود دارد.

بنابراین کپی کردن یک پوشه میزبان سالم روی ماشین دوم میان‌بر نیست. این یک هویت تکراری با نتیجه‌ای قابل پیش‌بینی است.

کلید امضا هرگز سفر نمی‌کند

کلید امضای CA بخشی از هیچ پیکربندی میزبانی نیست. هویت‌های تازه می‌سازد و هر کس آن را داشته باشد می‌تواند برای هر نشانی overlay و هر گروهی گواهی صادر کند. همتاها برای بررسی امضاها فقط به گواهی عمومی CA نیاز دارند، پس نیمه خصوصی بر روی کلاینت هیچ نقشی ندارد. آن را روی ماشینی نگه دارید که گواهی‌ها در آن صادر می‌شوند و یک کپی تصادفی را حادثه بدانید، نه یک راحتی.

اگر چند نفر باید گواهی صادر کنند، به آنها فرایند بدهید نه کپی از کلید. کلید امضای مشترک روی یک لپ‌تاپ مرجعی است که هیچ‌کس نمی‌تواند آن را حسابرسی یا باطل کند.

درون گواهی میزبان چیست

گواهی میزبان بیش از یک نام فایل را به کلید گره می‌زند. نشانی overlay گره، نام آن و عضویت گروهی‌اش را حمل می‌کند، همه امضا شده تا همتا بتواند تصمیم بگیرد که آیا آن را بپذیرد. به همین دلیل تغییر نام یک میزبان یعنی صدور گواهی تازه، نه ویرایش یک خط پیکربندی.

nebula-cert print -path host.crt نشان می‌دهد چه چیزی واقعاً صادر شده است. پیش از آنکه فرض کنید گواهی نشانی مورد نظر شما را دارد، آن را بخوانید.

بارگذاری مجدد همیشه کافی نیست

برخی تنظیمات PKI با یک سیگنال دوباره بارگذاری می‌شوند و برخی نه. گواهی‌ای که نشانی overlay آن تغییر کرده است همان مورد کلاسیکی است که به راه‌اندازی مجدد فرایند نیاز دارد، نه بارگذاری مجدد.

تأیید کنید فرایند در حال اجرا واقعاً کدام مسیرها را باز کرده است، نه فقط کدام مسیرها را فایل پیکربندی نام می‌برد. سپس یک اعتبارنامه را تغییر دهید، اتصال و گزارش‌ها را بررسی کنید و تنها پس از آن سراغ بعدی بروید. بارگذاری مجددی که موفق به نظر می‌رسد در حالی که گواهی قدیمی در حافظه می‌ماند، ناسازگاری‌ای ایجاد می‌کند که شبیه مشکل مسیریابی است. راه‌اندازی مجدد ارزان است؛ عیب‌یابی هویتی که نیمی از overlay هنوز آن را به روش قدیمی می‌بیند ارزان نیست.

حذف یک هویت به فهرست مسدودسازی نیاز دارد

جایگزینی یک اعتبارنامه گم‌شده یا افشاشده دو نیمه دارد. گواهی تازه دسترسی را بازمی‌گرداند و هویت قدیمی باید دیگر پذیرفته نشود. اینها عملیات جداگانه‌اند و انجام تنها اولی، اعتبارنامه به‌خطرافتاده را معتبر باقی می‌گذارد.

فهرست مسدودسازی فایلی است که شما میان میزبان‌ها توزیع می‌کنید، نه چیزی که یک lighthouse خودش ارسال کند. برنامه‌ریزی کنید که چگونه به هر گره برسد، از جمله آنهایی که امروز آفلاین هستند، و ثبت کنید کدام اثر انگشت‌ها را مسدود کرده‌اید. کلید را روی ماشین صادرکننده بچرخانید و جزئیات گواهی تازه را همراه با سابقه میزبان نگه دارید. ابطالی که فقط روی ماشینی که ویرایش کرده‌اید وجود دارد، ابطال نیست.