Nebulan estolista: jaa se, majakka ei sitä tee

Estolistan valvonta on tarkistuksen tekevän isännän ominaisuus, ei tarkistettavan varmenteen. Kone, joka ei koskaan ladannut merkintää, hyväksyy identiteetin edelleen, eikä mikään kättelyssä varoita sinua siitä, että kaksi vertaislaitetta on eri mieltä. Yhden paljastuneen tunnistetietojen halpa korjaus ja kallis korjaus eroavat laajuudeltaan ja peruutettavuudeltaan, joten valitse tarkoituksella. Seuraavat osiot käsittelevät, mitä merkintä tekee, minne se on toimitettava, milloin kierrättäminen on parempi vastaus ja miten todistat, että jompikumpi toimi.

Mitä estolistan merkintä todella tekee

PKI-määritys luettelee sormenjäljet, jotka isännän on hylättävä, vaikka varmenne on kelvollisesti allekirjoitettu eikä vanhentunut. Valvonta tapahtuu paikallisesti sitä listaa vasten, jonka isäntä latasi palvelun käynnistyessä. Mikään merkinnästä ei matkusta varmenteen sisällä, joten vertaislaite ei voi oppia päätöstä sille näytetystä tunnistetiedosta. Siksi majakalla ei ole tässä osaa: majakat auttavat vertaislaitteita löytämään toisensa ja välittämään liikennettä siellä, missä suora polku epäonnistuu. Ne ovat löytämis- ja välityskerros, eivät kokoonpanon jakelukanava.

Yhden koneen päivittäminen muuttaa sen koneen päätöksiä ja jättää jokaisen muun vertaislaitteen täsmälleen sellaiseksi kuin se oli. Vertaislaitteella, joka luottaa allekirjoittavaan viranomaiseen eikä ole koskaan nähnyt merkintää, ei ole syytä hylätä mitään. Siksi peruutuksen testaaminen majakkaa katselemalla ei todista mitään, koska komponentilta, jota katselet, ei ole koskaan pyydetty listan valvontaa.

Tunnista varmenne, älä laite

Käytä sen tunnistetiedon sormenjälkeä, jonka aiot hylätä, koska isäntänimi, laitetunniste tai nykyinen osoite tunnistavat koneen tänään ja jotain muuta ensi kuussa. Mikään noista merkkijonoista ei esiinny estolistassa, eikä mikään niistä selviä uudelleenasennuksesta. Tulosta varmenne, lue sormenjälki ja tarkista, että se kuuluu käytöstä poistettavaan tunnistetietoon eikä sen korvaajaan. Molempien tiedostojen lukeminen on tärkeää, kun korvaaja on jo myönnetty, sillä vanha ja uusi varmenne voivat jakaa nimen ja erota kaikissa muissa kentissä.

Kirjaa, mikä sormenjälki estettiin ja milloin, jotta myöhempi tarkastus erottaa valmiin muutoksen aiotusta. Huomaa myös, mitä merkintä ei tee: se ei mitätöi allekirjoittavaa viranomaista eikä estä kyseisen viranomaisen tulevan varmenteen hyväksymistä. Isäntävarmenteen estäminen ja vaarantuneen viranomaisen korvaaminen ovat eri toimintoja, joilla on eri seuraukset.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Jaa se kuin mikä tahansa muu kokoonpano

Kohtele listaa kokoonpanona, jolla on toimitustapa, älä tiedostona, jota joku muokkaa kun muistaa. Työnnä koko lista deltan sijaan, jotta aiemman päivityksen ohittanut isäntä lähentyy sen sijaan että kerryttäisi aukkoja. Nebula PKI -dokumentaatio suosittelee juuri tätä, ja neuvoa kannattaa seurata kirjaimellisesti sen sijaan että se muotoiltaisiin käsin tehtäväksi prosessiksi.

Varmista, että käynnissä oleva palvelu latasi sisällön uudelleen, ei vain että levyllä oleva tiedosto muuttui. Seuraa, mitkä koneet ottivat muutoksen käyttöön, ja pidä avoin lista näkyvissä, kunnes se on tyhjä. Viikon suljettuna ollut kannettava on vertaislaite, joka ei koskaan oppinut päätöstä, ja se voi yhdistää uudelleen verkosta, jota kukaan ei odottanut. Kirjaa toimitustapa sormenjäljen viereen, koska seuraava peruutus käyttää sitä uudelleen ja ensimmäisellä prosessi debugataan.

Estolista vai viranomaisen kierrättäminen

Estolistan merkintä on kapea: yksi identiteetti lakkaa toimimasta ja kaikki muu jatkuu. Allekirjoittavan viranomaisen kierrättäminen on laaja: jokainen sen myöntämä varmenne muuttuu epäluotetuksi ja jokainen isäntä tarvitsee uuden tunnistetiedon ja uuden luottamusankkurin. Ensimmäinen on kohdistettu peruutus ja toinen on migraatio, joten ne tarvitsevat eri hyväksynnät ja eri huoltokatkot. Taulukko asettaa ne rinnakkain laajuuden, vaivan ja peruutettavuuden mukaan.

Kadonnut kannettava vaatii estolistan, koska vaikutussäde on yksi identiteetti ja muutos on peruutettavissa, jos estit väärän sormenjäljen. Vuotanut viranomaisen avain vaatii kierrättämistä, koska estolista ei voi auttaa varmenteissa, joita ei ole vielä myönnetty. Näiden ääripäiden välissä kysy, olisiko paljastunut tunnistetieto voinut allekirjoittaa jotain muuta, koska viranomainen on enemmän kuin yksi isäntä.

Kirjoita päätös muistiin ennen tapahtumaa, koska paineen alla valitseminen tuottaa yleensä oletuksena laajan vaihtoehdon. Kumman polun valitsetkin, jäljellä oleva työkohde on sama: todistaa, että valvonta tapahtui isännillä, joilla on merkitystä. Sormenjäljen ja päivämäärän kirjaaminen sillä hetkellä on se, mikä tekee todistuksesta mahdollisen myöhemmin.

Varmista hylkäys ja loput

Yhdistä estetystä identiteetistä ja vahvista epäonnistuminen, yhdistä sitten valtuutetusta vertaislaitteesta ja vahvista, että se tavoittaa edelleen sen, mitä tarvitsee. Muutos, joka rikkoo kaikki, ei ole onnistunut peruutus. Tee molemmat tuoreista istunnoista, koska välimuistiin tallennettu tila voi piilottaa tuloksen.

Tarkista, päättyykö muodostettu istunto muutoksen jälkeen, ja kirjaa käyttäytyminen versiollesi ja kokoonpanollesi sen sijaan että olettaisit tiedoston muokkaamisen lopettavan jotain. Valinta disconnect_invalid kattaa asiakkaat, joiden varmenteet ovat vanhentuneet tai virheelliset, joten vahvista, miten se soveltuu tapaukseesi ennen kuin luotat siihen. Jos välitön lopettaminen on vaatimus, testaa sitä erikseen ja kirjaa, mitä havaitsit. Toista sitten testi uudelleenkäynnistyksen jälkeen, koska isännällä, joka valvoo listaa vain seuraavaan käynnistykseen asti, on toimitushäiriö, jonka ensimmäinen testi peitti. Terve majakka kertoo sinulle, että löytäminen toimii, ei että jokin vertaislaite olisi ottanut käyttöön käytäntöä.