Nebula արգելացանկը։ տարածեք այն, փարոսը չի անի
Արգելացանկի գրառումը գործում է միայն այն հոսթերում, որոնք բեռնել են այն։ Համեմատեք ցանկի տարածումը CA-ի պտտման հետ, ապա ստուգեք մերժված գործընկերոջը և աշխատողին։
Արգելացանկի կիրառումը ստուգող հոսթի հատկությունն է, ոչ թե ստուգվող վկայագրի։ Մեքենան, որը երբեք չի բեռնել գրառումը, շարունակում է ընդունել ինքնությունը, և ձեռքսեղմման մեջ ոչինչ չի զգուշացնում, որ երկու գործընկեր համաձայն չեն։ Նույն բացահայտված հավատարմագրի համար էժան և թանկ լուծումները տարբերվում են ընդգրկմամբ և հետադարձելիությամբ, ուստի ընտրեք դիտավորյալ։ Ներքևի բաժինները նկարագրում են, թե ինչ է անում գրառումը, որտեղ պետք է հասցնել այն, երբ պտտումն ավելի լավ պատասխան է, և ինչպես ապացուցել, որ դրանցից մեկը աշխատել է։
Ինչ է իրականում անում արգելացանկի գրառումը
PKI կարգավորումը թվարկում է մատնահետքեր, որոնք հոսթը պետք է մերժի, թեև վկայագիրը վավերականորեն ստորագրված է և ժամկետանց չէ։ Կիրառումը տեղի է ունենում տեղայնորեն՝ այն ցանկի դեմ, որը հոսթը բեռնել է ծառայության մեկնարկին։ Գրառման մասին ոչինչ չի ճամփորդում վկայագրի ներսում, ուստի գործընկերը չի կարող որոշումը սովորել իրեն ցուցադրված հավատարմագրից։ Այդ պատճառով փարոսն այստեղ դեր չունի։ փարոսները օգնում են գործընկերներին գտնել միմյանց և փոխանցել երթևեկությունը, որտեղ ուղիղ ուղին ձախողվում է։ Դրանք հայտնաբերման և փոխանցման շերտ են, ոչ թե կարգավորման տարածման ալիք։
Մեկ մեքենայի թարմացումը փոխում է այդ մեքենայի որոշումները և թողնում է մյուս բոլոր գործընկերներին ուղիղ ինչպես եղել են։ Գործընկերը, որը վստահում է ստորագրող մարմնին և երբեք չի տեսել գրառումը, ոչինչ մերժելու պատճառ չունի։ Ուստի փարոսին նայելով չեղարկումը ստուգելը ոչինչ չի ապացուցում, քանի որ այն բաղադրիչից, որին դուք նայում եք, երբեք չի պահանջվել կիրառել ցանկը։
Նույնականացրեք վկայագիրը, ոչ թե սարքը
Օգտագործեք այն հավատարմագրի մատնահետքը, որը մտադիր եք մերժել, քանի որ հոսթի անունը, սարքի պիտակը կամ ընթացիկ հասցեն այսօր նույնականացնում է մեքենա, իսկ հաջորդ ամիս՝ այլ բան։ Այդ տողերից ոչ մեկը չի հայտնվում արգելացանկում, և ոչ մեկը չի վերապրում վերատեղադրումը։ Տպեք վկայագիրը, կարդացեք մատնահետքը և ստուգեք, որ այն պատկանում է դուրս եկող հավատարմագրին, ոչ թե դրա փոխարինողին։ Երկու ֆայլերի ընթերցումը կարևոր է, երբ փոխարինողն արդեն թողարկված է, քանի որ հին և նոր վկայագրերը կարող են կիսել անունը և տարբերվել մյուս բոլոր դաշտերում։
Գրանցեք, թե որ մատնահետքը երբ արգելափակվեց, որպեսզի հետագա աուդիտը տարբերի ավարտված փոփոխությունը նախատեսվածից։ Նշեք նաև, թե ինչ չի անում գրառումը։ այն չի անվավերացնում ստորագրող մարմինը և չի կանխում այդ մարմնի ապագա վկայագրի ընդունումը։ Հոսթի վկայագրի արգելափակումը և վտանգված մարմնի փոխարինումը տարբեր գործողություններ են՝ տարբեր հետևանքներով։
nebula-cert print -path /etc/nebula/host.crt
pki:
blocklist:
- "a1b2c3d4e5f6"Տարածեք այն ինչպես ցանկացած այլ կարգավորում
Ցանկը վերաբերվեք որպես կարգավորում՝ առաքման մեխանիզմով, այլ ոչ թե ֆայլ, որը ինչ-որ մեկը խմբագրում է, երբ հիշում է։ Ուղարկեք ամբողջ ցանկը, ոչ թե դելտա, որպեսզի ավելի վաղ թարմացումը բաց թողած հոսթը հավաքվի՝ բացեր կուտակելու փոխարեն։ Nebula PKI փաստաթղթերը հենց դա են խորհուրդ տալիս, և արժե խորհուրդը հետևել բառացիորեն, այլ ոչ թե վերափոխել ձեռքով ընթացակարգի։
Հաստատեք, որ աշխատող ծառայությունը վերաբեռնել է բովանդակությունը, և ոչ միայն, որ սկավառակի ֆայլը փոխվել է։ Հետևեք, թե որ մեքենաներն են կիրառել փոփոխությունը, և մնացած ցանկը տեսանելի պահեք, մինչև այն դատարկվի։ Մեկ շաբաթ փակ դյուրակիր համակարգիչը գործընկեր է, որը երբեք չի սովորել որոշումը և կարող է նորից միանալ մի ցանցից, որը ոչ ոք չէր սպասում։ Գրանցեք առաքման եղանակը մատնահետքի կողքին, քանի որ հաջորդ չեղարկումը նորից կօգտագործի այն, և առաջինի ժամանակ է, որ ընթացակարգը կարգաբերվում է։
Արգելացանկ, թե մարմնի պտտում
Արգելացանկի գրառումը նեղ է։ մեկ ինքնություն դադարում է աշխատել, և մնացած ամեն ինչ շարունակվում է։ Ստորագրող մարմնի պտտումը լայն է։ նրա թողարկած յուրաքանչյուր վկայագիր դառնում է անվստահելի, և յուրաքանչյուր հոսթի պետք է նոր հավատարմագիր և նոր վստահության խարիսխ։ Առաջինը նպատակային չեղարկում է, երկրորդը՝ միգրացիա, ուստի նրանք պահանջում են տարբեր հաստատումներ և տարբեր սպասարկման պատուհաններ։ Աղյուսակը կողք կողքի է դնում երկուսին ընդգրկմամբ, ջանքով և հետադարձելիությամբ։
| Question | Blocklist entry | Authority rotation |
|---|---|---|
| What stops working | One identity | Every certificate from that authority |
| Fleet work | Push one file and confirm a reload | New credentials and a new trust anchor everywhere |
| Reversible | Yes, remove the line | No, the old authority stays distrusted |
| Fits | A lost or stolen device | A leaked authority key |
Կորած դյուրակիր համակարգիչը պահանջում է արգելացանկ, քանի որ վնասի շառավիղը մեկ ինքնություն է, և փոփոխությունը հետադարձելի է, եթե սխալ մատնահետք եք արգելափակել։ Արտահոսած մարմնի բանալին պահանջում է պտտում, քանի որ արգելացանկը չի կարող օգնել դեռ չթողարկված վկայագրերին։ Այդ ծայրահեղությունների միջև հարցրեք՝ արդյոք բացահայտված հավատարմագիրը կարող էր ուրիշ բան ստորագրել, քանի որ մարմինը մեկ հոսթից ավելին է։
Գրեք որոշումը մինչև միջադեպը, քանի որ ճնշման տակ ընտրությունը հակված է լռելյայն տալ լայն տարբերակը։ Ինչ ուղի էլ ընտրեք, մնացած աշխատանքը նույնն է։ ապացուցել, որ կիրառումը տեղի է ունեցել կարևոր հոսթերում։ Մատնահետքի և ամսաթվի գրանցումը հենց այդ պահին է, որ հնարավոր է դարձնում ապացույցը ավելի ուշ։
Ստուգեք մերժումը և մնացածը
Միացեք արգելափակված ինքնությունից և հաստատեք ձախողումը, ապա միացեք լիազորված գործընկերոջից և հաստատեք, որ այն դեռ հասնում է իրեն անհրաժեշտին։ Փոփոխությունը, որը կտրում է բոլորին, հաջող չեղարկում չէ։ Երկուսն էլ արեք նոր սեսիաներից, քանի որ քեշավորված վիճակը կարող է թաքցնել արդյունքը։
Ստուգեք՝ արդյոք հաստատված սեսիան ավարտվում է փոփոխությունից հետո, և գրանցեք վարքը ձեր տարբերակի և կարգավորման համար՝ փոխարենը ենթադրելու, որ ֆայլի խմբագրումը ինչ-որ բան դադարեցնում է։ disconnect_invalid տարբերակը ընդգրկում է այն հաճախորդներին, որոնց վկայագրերը ժամկետանց են կամ անվավեր, ուստի հաստատեք, թե ինչպես է այն վերաբերում ձեր դեպքին, նախքան դրա վրա հենվելը։ Եթե ակնթարթային դադարեցումը պահանջ է, փորձարկեք այն հատուկ և գրանցեք, ինչ տեսաք։ Այնուհետև կրկնեք փորձարկումը վերագործարկումից հետո, քանի որ հոսթը, որը ցանկը կիրառում է միայն մինչև հաջորդ վերագործարկումը, ունի առաքման խնդիր, որը թաքցրել էր առաջին փորձարկումը։ Առողջ փարոսը ձեզ ասում է, որ հայտնաբերումն աշխատում է, ոչ թե որ ինչ-որ գործընկեր կիրառել է քաղաքականություն։