Nebula को तीन फ़ाइलें चाहिए: CA, होस्ट प्रमाणपत्र और होस्ट कुंजी

किसी को Nebula डायरेक्टरी दें तो वह आमतौर पर सब कुछ कॉपी कर लेता है, उस फ़ाइल सहित जो कभी आपके वर्कस्टेशन से बाहर नहीं जानी चाहिए। उलझन समझी जा सकती है, क्योंकि होस्ट के PKI ब्लॉक की तीनों फ़ाइलें एक जैसी दिखती हैं और उनमें से दो प्रमाणपत्र हैं। हर एक अलग सवाल का जवाब देती है, और उनमें से केवल दो ही नोड पर होनी चाहिए। कुछ भी कॉपी करने से पहले उन्हें भूमिका के अनुसार अलग करें।

तीन फ़ाइलें, तीन अलग काम

CA प्रमाणपत्र भरोसे का लंगर है: जब कोई दूसरा होस्ट अपनी पहचान पेश करता है, तब यह होस्ट को बताता है कि किन प्राधिकारियों पर भरोसा करना है। होस्ट प्रमाणपत्र नोड का अपना परिचय है, जिस पर वही प्राधिकारी हस्ताक्षर करता है। होस्ट कुंजी उसका मेल खाता निजी आधा हिस्सा है, और वह ठीक एक मशीन की है। CA प्रमाणपत्र और अपनी जोड़ी वाला नोड overlay में शामिल होकर साबित कर सकता है कि वह कौन है। किसी और की कुंजी वाला नोड भी खुद को वही व्यक्ति बता सकता है, और यही वह खराबी है जिसे रोकने के लिए यह व्यवस्था है।

इसलिए चलती हुई होस्ट डायरेक्टरी को दूसरी मशीन पर कॉपी करना कोई शॉर्टकट नहीं है। यह अनुमानित नतीजे वाली नकली पहचान है।

हस्ताक्षर कुंजी कभी यात्रा नहीं करती

CA हस्ताक्षर कुंजी किसी भी होस्ट कॉन्फ़िगरेशन का हिस्सा नहीं है। यह नई पहचानें बनाती है, और जिसके पास यह है वह किसी भी overlay पते और किसी भी समूह के लिए प्रमाणपत्र जारी कर सकता है। साथियों को हस्ताक्षर जाँचने के लिए केवल सार्वजनिक CA प्रमाणपत्र चाहिए, इसलिए क्लाइंट पर निजी आधे हिस्से की कोई भूमिका नहीं है। इसे उसी मशीन पर रखें जहाँ प्रमाणपत्र जारी होते हैं, और अनजाने में बनी प्रतिलिपि को सुविधा नहीं, घटना मानें।

अगर कई लोगों को प्रमाणपत्र जारी करने हों, तो उन्हें कुंजी की प्रतिलिपि नहीं, एक प्रक्रिया दें। लैपटॉप पर साझा हस्ताक्षर कुंजी ऐसा अधिकार है जिसका न कोई लेखा-जोखा कर सकता है न रद्द।

होस्ट प्रमाणपत्र के अंदर क्या होता है

होस्ट प्रमाणपत्र कुंजी से सिर्फ़ फ़ाइल का नाम नहीं जोड़ता। यह नोड का overlay पता, उसका नाम और समूह-सदस्यता रखता है, सब पर हस्ताक्षर होते हैं ताकि साथी तय कर सके कि इसे स्वीकार करना है या नहीं। इसीलिए होस्ट का नाम बदलने का अर्थ है नया प्रमाणपत्र जारी करना, कॉन्फ़िगरेशन की एक पंक्ति संपादित करना नहीं।

nebula-cert print -path host.crt दिखाता है कि वास्तव में क्या जारी हुआ। यह मानने से पहले कि प्रमाणपत्र में वही पता है जो आप चाहते थे, इसे पढ़ें।

फिर से लोड करना हमेशा काफ़ी नहीं होता

कुछ PKI सेटिंग्स सिग्नल पर फिर से लोड होती हैं, और कुछ नहीं। जिस प्रमाणपत्र का overlay पता बदल गया है वही क्लासिक मामला है जिसमें फिर से लोड करने के बजाय प्रक्रिया फिर से शुरू करनी पड़ती है।

पुष्टि करें कि चल रही प्रक्रिया ने वास्तव में कौन-से पथ खोले, केवल वे नहीं जिनका नाम कॉन्फ़िगरेशन फ़ाइल लेती है। फिर एक परिचय बदलें, कनेक्टिविटी और लॉग जाँचें, और उसके बाद ही अगला छुएँ। पुराना प्रमाणपत्र स्मृति में रहते हुए सफल दिखने वाला पुनः लोड ऐसी असंगति पैदा करता है जो राउटिंग समस्या जैसी लगती है। फिर से शुरू करना सस्ता है; ऐसी पहचान को डीबग करना जिसे आधा overlay अब भी पुराने तरीके से देखता है, सस्ता नहीं।

पहचान हटाने के लिए ब्लॉकलिस्ट चाहिए

खोए या उजागर परिचय को बदलने के दो आधे हिस्से हैं। नया प्रमाणपत्र पहुँच बहाल करता है, और पुरानी पहचान को स्वीकार होना बंद करना पड़ता है। ये अलग-अलग क्रियाएँ हैं, और केवल पहली करने से समझौता किया गया परिचय वैध रह जाता है।

ब्लॉकलिस्ट ऐसी फ़ाइल है जो आप होस्टों में बाँटते हैं, ऐसा कुछ नहीं जो lighthouse अपने आप भेज दे। योजना बनाएँ कि यह हर नोड तक कैसे पहुँचेगी, उन सहित जो आज ऑफ़लाइन हैं, और दर्ज करें कि कौन-से फ़िंगरप्रिंट आपने ब्लॉक किए। जारी करने वाली मशीन पर कुंजी बदलें और नए प्रमाणपत्र का ब्यौरा होस्ट रिकॉर्ड के साथ रखें। जो निरसन केवल उसी मशीन पर है जिसे आपने संपादित किया, वह निरसन नहीं है।