It opnij lade fan it Nebula-sertifikaat feroare de IP net: hjir is wêrom
In werlading lêst de host-identiteitsbewiis opnij allinne as it overlay-adres itselde bliuwt. It adres feroarje betsjut in werstart en in netwurkferoaring, gjin nije poging.
Jo jouwe in nij host-sertifikaat út mei in oar overlay-adres, kopiearje it oer it âlde bestân, stjoere de werlading, en de host bliuwt antwurdzje op it adres dat er earder hie. De refleks is om te tinken dat de werlading mislearre of dat it ferkearde bestân lêzen is. Meastentiids barde gjin fan beide: it rinnende proses hold bewust de identiteit dy’t it al hie, omdat de ferfanging eat feroare dat in werlading net tapasse kin.
De stipe foar PKI-werlading fan Nebula is dokumentearre mei dy grins, en it is maklik om dy te missen as deselde dokumintaasje sjen lit dat werlading foar oare feroarings wurket.
Wat in werlading eins opnij lêst
In host-sertifikaat is net samar in identiteitsbewiis lykas in SSH-kaai. It draacht it overlay-adres, de hostnamme, de groepsfermidden en in jildichheidspanne, en dat alles is troch de hantekening fan de ryksynstânsje oaninoar ferbûn. De daemon brûkt dy ûndertekene ynhâld om te besluten hoe’t er himsels presintearret en hokker regels op him fan tapassing binne.
Werladen lit it proses fernijde identiteitsbewizen ophelje sûnder syn tunnels te ferliezen, wat weardefol is foar routine-rotatie: itselde adres, deselde namme, deselde groepen, lettere ferfaldatum. De beheining is dat de identiteit itselde bliuwe moat. Feroarje it overlay-adres en it werlaadpaad kin it net tapasse, omdat it adres diel is fan wat it rinnende eksimplaar al tasein hat.
Dat gedrach dat jo seagen is dus de dokumintearre grins dy’t syn wurk docht, gjin stil mislearjen. It bestân op skiif is nij; de identiteit yn it ûnthâld is âld; it proses hat gjin stipe manier om dat ferskil te fermoedsoenjen sûnder werstart.
Adres, namme en groepen binne ien identiteit
It helpt om it sertifikaat as ien rekord te sjen ynstee fan as in set fjilden dy’t jo los bewurkje kinne. It adres ferpleatse is net as it feroarjen fan in foarkar, omdat it adres foarkomt yn de peer-konfiguraasjes fan oare hosts, yn tsjinstbiningen en yn belied skreaun tsjin de identiteit.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Groepen fertsjinje har eigen rigel, omdat se in stillere ferzje fan deselde betizing feroarsaakje. In host dy’t syn adres hâldt mar fan groep feroaret, kin nei in werstart oare tsjinsten berikke, en in test dy’t allinnich it âlde adres pingt, sil der hielendal sûn útsjen wylst tagongsbeslissingen derûnder feroare binne. Kontrolearje ien tsjinst ûnder in regel, net allinnich berikberens. Dat is it ferskil tusken de tunnel befêstigje en it belied befêstigje.
Fergelykje it laden sertifikaat mei de ferfanging
Foardat jo oannimme dat de daemon it bestân negearre hat, lês beide. Printsje it sertifikaat dat jo lade wolle en befêstigje de fjilden dy’t jo tocht hawwe feroare te hawwen, befêstigje dan dat de rinnende konfiguraasje nei dat paad wiist en net nei in kopy earne oars.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)De prosesarguminten binne wichtiger as minsken ferwachtsje. In ienheid dy’t -config /etc/nebula/config.yml jout, lêst de pki.cert-ynskriuwing fan dat bestân, en in sertifikaat dat yn in tydlike map ynstallearre is, hat gjin effekt. Kontrolearje it paad yn de rinnende opdracht rigel, net it paad yn de dokumintaasje dy’t jo folge hawwe. As dy twa ferskille, hawwe jo it probleem fûn sûnder it sertifikaat oan te reitsjen.
As it nije sertifikaat in oar adres hat en it proses hat it âlde holden, dan hawwe jo no in ferklearring ynstee fan in riedsel. Werstart it as dat akseptabel is, en behannelje de adresferoaring as in plande netwurkferoaring en net as in tafallige.
In adresferoaring is in netwurkferoaring
Plan it sa’t jo it ferpleatsen fan in masine planne soene. Oare hosts hawwe it âlde adres miskien yn har konfiguraasje fêstset, tsjinsten bine har der miskien eksplisyt oan, en firewall-regels binne miskien tsjin it adres skreaun. It sertifikaat feroarje ferpleatst de host, en de host ferpleatsen makket oannames earne oars ûnjildich.
Hâld in twadde behearpaad beskikber wylst jo dit dogge, omdat de overlay-ferbining miskien dejinge is dy’t jo ûnderbrekke. Dit dwaan oer de tunnel dy’t jo op it punt steane te brekken is de klassike manier om in feroaring fan fiif minuten yn in besite op lokaasje te feroarjen.
Oft in werstart akseptabel is, hinget ôf fan wat de host docht, en dat is in planningskwestje, net in technyske. Wat net opsjoneel is, is it erkennen fan de werstartseasken ynstee fan de werlading in fyfde kear te stjoeren.
Lûk it âlde identiteitsbewiis apart yn
In ferfanging op ien masine ynstallearje lit elke peer noch fertrouwe op it identiteitsbewiis dat er al ken. As de reden foar de feroaring in kompromis wie, moat de âlde identiteit troch de fertrouwens- of bloklistproseduere ynlutsen wurde, sadat peers it echt ôfwize.
Dat is in aparte stap mei syn eigen ferifikaasje: befêstigje fan in oare host dat de âlde identiteit net mear wurket, ynstee fan oan te nimmen dat it nije bestân it wurk dien hat. De Nebula PKI-konfiguraasjedokumintaasje behannelet de werlaadbere ynstellingen en de adresbeheining dy’t hjir beskreaun is, en it is de muoite wurdich om dy folslein te lêzen foar’t jo eat yn produksje rottearje.