A Nebulához három fájl kell: CA, hosttanúsítvány és hostkulcs

Ha valakinek odaad egy Nebula-könyvtárat, általában mindent lemásol, beleértve azt a fájlt is, amelynek soha nem szabadna elhagynia a munkaállomását. A zavar érthető, mert a host PKI-blokkjában lévő három fájl hasonlít egymásra, és kettő közülük tanúsítvány. Mindegyik más kérdésre válaszol, és csak kettő tartozik a csomóponthoz. Másolás előtt sorolja be őket szerep szerint.

Három fájl, három különböző feladat

A CA-tanúsítvány bizalmi horgony: megmondja a hostnak, mely hatóságokban bízzon, amikor egy másik host bemutatja a személyazonosságát. A hosttanúsítvány a csomópont saját igazolása, amelyet ez a hatóság írt alá. A hostkulcs a hozzá tartozó privát fél, és pontosan egy géphez tartozik. Egy csomópont, amely rendelkezik a CA-tanúsítvánnyal és a saját kulcspárjával, csatlakozhat az overlayhez, és bizonyíthatja, ki ő. Egy csomópont valaki más kulcsával szintén azt állíthatja, hogy ő az a személy, és éppen ezt a hibát hivatott megakadályozni ez az elrendezés.

A működő hostkönyvtár második gépre másolása tehát nem rövidítés. Ez egy megkettőzött identitás kiszámítható eredménnyel.

Az aláírókulcs soha nem utazik

A CA aláírókulcsa nem része semmilyen hostkonfigurációnak. Új identitásokat készít, és aki birtokolja, bármilyen overlay-címhez és bármilyen csoporthoz kiállíthat tanúsítványt. A partnereknek csak a nyilvános CA-tanúsítványra van szükségük az aláírások ellenőrzéséhez, ezért a privát félnek egyáltalán nincs szerepe egy kliensen. Tartsa azon a gépen, ahol a tanúsítványokat kiállítják, és a véletlen másolatot kezelje incidensként, ne kényelemként.

Ha több embernek kell tanúsítványt kiállítania, adjon nekik folyamatot a kulcs másolata helyett. A laptopon megosztott aláírókulcs olyan felhatalmazás, amelyet senki nem tud auditálni vagy visszavonni.

Mi van egy hosttanúsítványban

A hosttanúsítvány többet köt kulcshoz, mint egy fájlnevet. Hordozza a csomópont overlay-címét, nevét és csoporttagságát, mindezt aláírva, hogy a partner eldönthesse, elfogadja-e. Ezért a host átnevezése új tanúsítvány kiállítását jelenti, nem egy konfigurációs sor szerkesztését.

nebula-cert print -path host.crt mutatja, mi került ténylegesen kiállításra. Olvassa el, mielőtt feltételezné, hogy a tanúsítvány a szándékolt címet tartalmazza.

Az újratöltés nem mindig elég

Egyes PKI-beállítások jelre újratöltődnek, mások nem. Egy tanúsítvány, amelynek az overlay-címe megváltozott a klasszikus eset, amely a folyamat újraindítását igényli, nem újratöltését.

Ellenőrizze, mely útvonalakat nyitotta meg ténylegesen a futó folyamat, ne csak azokat, amelyeket a konfigurációs fájl megnevez. Utána változtasson meg egy igazolást, ellenőrizze a kapcsolatot és a naplókat, és csak ezután nyúljon a következőhöz. Egy sikeresnek látszó újratöltés, miközben a régi tanúsítvány a memóriában marad, olyan eltérést okoz, amely útválasztási problémának látszik. Az újraindítás olcsó; egy identitás hibakeresése, amelyet az overlay fele még a régi módon lát, nem az.

Egy identitás eltávolítása tiltólistát igényel

Egy elveszett vagy felfedett igazolás cseréjének két fele van. Az új tanúsítvány helyreállítja a hozzáférést, a régi identitást pedig el kell kezdeni elutasítani. Ezek külön műveletek, és csak az első elvégzése érvényben hagyja a kompromittált igazolást.

A tiltólista olyan fájl, amelyet a hostok között oszt szét, nem valami, amit egy lighthouse magától kiküld. Tervezze meg, hogyan jut el minden csomóponthoz, beleértve a ma offline állapotban lévőket is, és jegyezze fel, mely ujjlenyomatokat tiltotta le. Forgassa a kulcsot a kiállító gépen, és a hostrekord mellett tartsa az új tanúsítvány adatait. A visszavonás, amely csak a szerkesztett gépen létezik, nem visszavonás.