Nebula butuh tiga berkas: CA, sertifikat host, kunci host

Jika Anda memberikan direktori Nebula kepada seseorang, ia biasanya menyalin semuanya, termasuk berkas yang seharusnya tidak pernah keluar dari workstation Anda. Kebingungannya wajar, karena tiga berkas di blok PKI sebuah host tampak serupa dan dua di antaranya adalah sertifikat. Masing-masing menjawab pertanyaan yang berbeda, dan hanya dua yang menjadi milik node. Urutkan berdasarkan peran sebelum menyalin apa pun.

Tiga berkas, tiga tugas berbeda

Sertifikat CA adalah jangkar kepercayaan: ia memberi tahu host otoritas mana yang harus dipercaya saat host lain menunjukkan identitasnya. Sertifikat host adalah kredensial node itu sendiri, ditandatangani oleh otoritas tersebut. Kunci host adalah pasangan privatnya, dan hanya dimiliki satu mesin. Node yang memiliki sertifikat CA dan pasangannya sendiri dapat bergabung ke overlay dan membuktikan siapa dirinya. Node yang memiliki kunci orang lain juga dapat mengaku sebagai orang itu, dan itulah kegagalan yang hendak dicegah oleh tata letak ini.

Menyalin direktori host yang berfungsi ke mesin kedua karena itu bukan jalan pintas. Itu identitas ganda dengan hasil yang bisa diprediksi.

Kunci penandatangan tidak pernah berpindah

Kunci penandatangan CA bukan bagian dari konfigurasi host mana pun. Kunci itu mencetak identitas baru, dan siapa pun yang memegangnya dapat membuat sertifikat untuk alamat overlay dan grup mana saja. Rekan hanya memerlukan sertifikat CA publik untuk memverifikasi tanda tangan, jadi bagian privat sama sekali tidak berperan pada klien. Simpan di mesin tempat sertifikat diterbitkan, dan perlakukan salinan tak sengaja sebagai insiden, bukan kemudahan.

Jika beberapa orang perlu menerbitkan sertifikat, beri mereka proses, bukan salinan kunci. Kunci penandatangan bersama di laptop adalah otoritas yang tidak dapat diaudit atau dicabut oleh siapa pun.

Apa isi sertifikat host

Sertifikat host mengikat lebih dari sekadar nama berkas ke sebuah kunci. Ia membawa alamat overlay node, namanya, dan keanggotaan grupnya, semuanya ditandatangani agar rekan dapat memutuskan apakah menerimanya. Itulah sebabnya mengganti nama host berarti menerbitkan sertifikat baru, bukan menyunting satu baris konfigurasi.

nebula-cert print -path host.crt menunjukkan apa yang benar-benar diterbitkan. Bacalah sebelum menganggap sertifikat membawa alamat yang Anda maksud.

Memuat ulang tidak selalu cukup

Sebagian pengaturan PKI dimuat ulang saat menerima sinyal, sebagian tidak. Sertifikat yang alamat overlay-nya berubah adalah kasus klasik yang memerlukan mulai ulang proses, bukan muat ulang.

Pastikan jalur mana yang benar-benar dibuka proses yang berjalan, bukan hanya jalur yang disebut berkas konfigurasi. Lalu ubah satu kredensial, verifikasi konektivitas dan log, dan baru setelah itu sentuh kredensial berikutnya. Muat ulang yang tampak berhasil sementara sertifikat lama tetap di memori menghasilkan ketidakcocokan yang tampak seperti masalah perutean. Mulai ulang itu murah; menelusuri identitas yang separuh overlay masih melihat dengan cara lama tidak murah.

Menghapus identitas memerlukan daftar blokir

Mengganti kredensial yang hilang atau terbuka punya dua bagian. Sertifikat baru memulihkan akses, dan identitas lama harus berhenti diterima. Keduanya operasi terpisah, dan hanya melakukan yang pertama membuat kredensial yang bocor tetap sah.

Daftar blokir adalah berkas yang Anda distribusikan ke host, bukan sesuatu yang lighthouse dorong sendiri. Rencanakan bagaimana daftar itu mencapai setiap node, termasuk yang sedang offline hari ini, dan catat sidik jari mana yang Anda blokir. Putar kunci di mesin penerbit dan simpan detail sertifikat baru bersama catatan host. Pencabutan yang hanya ada di mesin yang Anda sunting bukan pencabutan.