Nebula-ին պետք է երեք ֆայլ՝ CA, հոսթի վկայական, հոսթի բանալի

Եթե ինչ-որ մեկին տաք Nebula պանակը, նա սովորաբար պատճենում է ամեն ինչ, ներառյալ այն ֆայլը, որը երբեք չպետք է լքի ձեր աշխատանքային կայանը։ Խառնաշփոթը հասկանալի է, որովհետև հոսթի PKI բլոկի երեք ֆայլերը նման են իրար, և դրանցից երկուսը վկայականներ են։ Յուրաքանչյուրը պատասխանում է տարբեր հարցի, և դրանցից միայն երկուսն են պատկանում հանգույցին։ Մինչև որևէ բան պատճենելը դասավորեք դրանք ըստ դերի։

Երեք ֆայլ, երեք տարբեր գործ

CA վկայականը վստահության խարիսխ է՝ այն հոսթին ասում է, թե որ մարմիններին հավատա, երբ մեկ այլ հոսթ ներկայացնում է իր ինքնությունը։ Հոսթի վկայականը հանգույցի սեփական վկայականն է՝ ստորագրված այդ մարմնի կողմից։ Հոսթի բանալին դրա համապատասխան մասնավոր կեսն է, և պատկանում է ուղիղ մեկ մեքենայի։ CA վկայականով և սեփական զույգով հանգույցը կարող է միանալ overlay-ին և ապացուցել, թե ով է։ Ուրիշի բանալին ունեցող հանգույցը նույնպես կարող է իրեն ներկայացնել որպես այդ մարդը, և հենց այն ձախողումն է, որը պետք է կանխի այս կառուցվածքը։

Աշխատող հոսթի պանակը երկրորդ մեքենայի վրա պատճենելը, ուրեմն, կարճ ճանապարհ չէ։ Դա կրկնված ինքնություն է՝ կանխատեսելի արդյունքով։

Ստորագրության բանալին երբեք չի ճամփորդում

CA ստորագրության բանալին ոչ մի հոսթի կոնֆիգուրացիայի մաս չէ։ Այն ստեղծում է նոր ինքնություններ, և ով ունի այն, կարող է վկայական թողարկել ցանկացած overlay հասցեի և ցանկացած խմբի համար։ Հասակիցներին ստորագրությունները ստուգելու համար պետք է միայն հանրային CA վկայականը, ուստի մասնավոր կեսը հաճախորդի վրա բացարձակապես դեր չունի։ Պահեք այն այն մեքենայի վրա, որտեղ թողարկվում են վկայականները, և պատահական պատճենը դիտեք որպես միջադեպ, ոչ որպես հարմարավետություն։

Եթե մի քանի մարդ պետք է վկայականներ թողարկեն, տվեք նրանց գործընթաց, ոչ թե բանալիի պատճեն։ Նոթբուքի վրա համօգտագործվող ստորագրության բանալին իշխանություն է, որը ոչ ոք չի կարող ստուգել կամ չեղարկել։

Ինչ կա հոսթի վկայականի ներսում

Հոսթի վկայականը բանալիի հետ կապում է ավելին, քան ֆայլի անունը։ Այն կրում է հանգույցի overlay հասցեն, անունը և խմբային անդամակցությունը՝ ամեն ինչ ստորագրված, որպեսզի հասակիցը կարողանա որոշել՝ ընդունե՞լ այն։ Այդ պատճառով հոսթի անվանափոխումը նշանակում է նոր վկայական թողարկել, ոչ թե խմբագրել կոնֆիգուրացիայի տող։

nebula-cert print -path host.crt ցույց է տալիս, թե ինչ է իրականում թողարկվել։ Կարդացեք այն նախքան ենթադրելը, որ վկայականը կրում է ձեր ուզած հասցեն։

Վերաբեռնումը միշտ չէ, որ բավարար է

Որոշ PKI կարգավորումներ վերաբեռնվում են ազդանշանով, իսկ որոշները՝ ոչ։ Վկայական, որի overlay հասցեն փոխվել է դասական դեպքն է, որը պահանջում է գործընթացի վերագործարկում, այլ ոչ թե վերաբեռնում։

Հաստատեք, թե աշխատող գործընթացն իրականում որ ուղիներն է բացել, ոչ միայն այն, թե որ ուղիներն է նշում կոնֆիգուրացիայի ֆայլը։ Այնուհետև փոխեք մեկ վկայական, ստուգեք կապը և մատյանները, և միայն դրանից հետո անցեք հաջորդին։ Հաջող թվացող վերաբեռնումը, երբ հին վկայականը մնում է հիշողության մեջ, առաջացնում է անհամապատասխանություն, որը նման է երթուղավորման խնդրի։ Վերագործարկումը էժան է․ ինքնության վրիպազերծումը, որը overlay-ի կեսը դեռ տեսնում է հին ձևով, էժան չէ։

Ինքնությունը հեռացնելը պահանջում է արգելափակման ցանկ

Կորած կամ բացահայտված վկայականի փոխարինումը երկու կես ունի։ Նոր վկայականը վերականգնում է հասանելիությունը, և հին ինքնությունը պետք է դադարի ընդունվել։ Դրանք առանձին գործողություններ են, և միայն առաջինը կատարելը վտանգված վկայականը թողնում է վավեր։

Արգելափակման ցանկը ֆայլ է, որը դուք բաժանում եք հոսթերին, ոչ թե ինչ-որ բան, որ lighthouse-ը ինքն է ուղարկում։ Պլանավորեք, թե ինչպես այն հասնի յուրաքանչյուր հանգույցի, ներառյալ նրանք, որոնք այսօր անցանց են, և գրանցեք, թե որ մատնահետքերն եք արգելափակել։ Պտտեք բանալին թողարկող մեքենայի վրա և նոր վկայականի տվյալները պահեք հոսթի գրառման հետ։ Չեղարկումը, որը գոյություն ունի միայն ձեր խմբագրած մեքենայի վրա, չեղարկում չէ։