Nebula bannlisti: dreifðu honum, vitinn gerir það ekki

Framfylging bannlistans er eiginleiki hýsilsins sem framkvæmir athugunina, ekki skírteinisins sem er skoðað. Vél sem hlóð færslunni aldrei heldur áfram að samþykkja auðkennið, og ekkert í handabandinu varar þig við því að tveir jafningjar séu ósammála. Ódýra lausnin og dýra lausnin fyrir sama afhjúpaða skilríkið eru ólík að umfangi og afturkræfni, svo veldu af ásetningi. Kaflarnir hér að neðan fjalla um hvað færslan gerir, hvert henni þarf að skila, hvenær snúningur er betra svar og hvernig sanna má að annar hvor hafi virkað.

Hvað bannlistafærsla gerir í raun

PKI-stillingin listar fingraför sem hýsillinn verður að hafna þótt skírteinið sé gilt undirritað og óútrunnið. Framfylging fer fram á staðnum, gegn listanum sem sá hýsill hlóð þegar þjónustan hófst. Ekkert um færsluna ferðast inni í skírteininu, svo jafningi getur ekki lært ákvörðunina af skilríkinu sem honum er sýnt. Þess vegna á vitinn engan þátt hér: vitar hjálpa jafningjum að finna hvern annan og millifæra umferð þar sem bein leið bregst. Þeir eru uppgötvunar- og millifærslulag, ekki dreifingarrás stillinga.

Uppfærsla á einni vél breytir ákvörðunum þeirrar vélar og lætur hvern annan jafningja vera nákvæmlega eins og hann var. Jafningi sem treystir undirritunarvaldinu og sá færsluna aldrei hefur enga ástæðu til að hafna neinu. Því sannar prófun afturköllunar með því að fylgjast með vitanum ekkert, því af þeirri einingu sem þú fylgist með var aldrei farið fram á að framfylgja listanum.

Auðkenndu skírteinið, ekki tækið

Notaðu fingrafar skilríkisins sem þú hyggst hafna, því hýsilnafn, tækismerki eða núverandi netfang auðkennir vél í dag og eitthvað annað í næsta mánuði. Ekkert þessara strengja kemur fram á bannlistanum, og ekkert þeirra lifir enduruppsetningu. Prentaðu skírteinið, lestu fingrafarið og athugaðu að það tilheyri skilríkinu sem er á útleið en ekki staðgengli þess. Að lesa báðar skrárnar skiptir máli þegar staðgengill er þegar útgefinn, því gamla og nýja skírteinið geta deilt nafni og verið ólík í öllum öðrum sviðum.

Skráðu hvaða fingrafar var lokað og hvenær, svo síðari endurskoðun greini lokna breytingu frá fyrirhugaðri. Taktu líka eftir því sem færslan gerir ekki: hún ógildir ekki undirritunarvaldið og kemur ekki í veg fyrir að framtíðarskírteini frá því valdi sé samþykkt. Að loka hýsilskírteini og að skipta um vald sem hefur verið brotið eru mismunandi aðgerðir með mismunandi afleiðingum.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Dreifðu honum eins og hverri annarri stillingu

Meðhöndlaðu listann sem stillingu með afhendingaraðferð frekar en skrá sem einhver breytir þegar honum dettur í hug. Ýttu öllum listanum frekar en delta, svo hýsill sem missti fyrri uppfærslu nái saman í stað þess að safna eyðum. PKI-skjöl Nebula mæla einmitt með þessu, og það er þess virði að fylgja ráðinu bókstaflega frekar en að umorða það í handvirkt ferli.

Staðfestu að þjónustan sem er í gangi hafi hlaðið innihaldinu aftur, ekki bara að skráin á diskinum hafi breyst. Fylgstu með hvaða vélar beittu breytingunni og haltu eftirstöðvalistanum sýnilegum þar til hann er tómur. Fartölva sem er lokuð í viku er jafningi sem lærði ákvörðunina aldrei og gæti tengst aftur frá neti sem enginn bjóst við. Skráðu afhendingaraðferðina við hlið fingrafarsins, því næsta afturköllun notar hana aftur og í þeirri fyrstu er ferlið kembileitað.

Bannlisti eða snúningur valds

Bannlistafærsla er þröng: eitt auðkenni hættir að virka og allt annað heldur áfram. Snúningur undirritunarvaldsins er víður: hvert skírteini sem það gaf út verður ótraust, og hver hýsill þarf nýtt skilríki og nýjan traustfesta. Fyrra er markviss afturköllun og seinna er flutningur, svo þau þurfa mismunandi samþykki og mismunandi viðhaldsglugga. Taflan setur þau saman á umfang, fyrirhöfn og afturkræfni.

Týnd fartölva krefst bannlistans, því skaðasvæðið er eitt auðkenni og breytingin er afturkræf ef þú lokaðir röngu fingrafari. Lekið valdarlykill krefst snúnings, því bannlistinn getur ekki hjálpað með skírteini sem ekki hafa verið gefin út. Milli þessara öfga, spurðu hvort afhjúpaða skilríkið gæti hafa undirritað eitthvað annað, þar sem vald er meira en einn hýsill.

Skrifaðu ákvörðunina niður fyrir atvik, því val undir þrýstingi hefur tilhneigingu til að gefa víðan valkost sjálfgefið. Hvaða leið sem þú tekur, eftirstöðvavinnan er sú sama: sanna að framfylging hafi átt sér stað á þeim hýslum sem skipta máli. Skráning fingrafarsins og dagsetningarinnar á þeirri stundu er það sem gerir sönnunina mögulega síðar.

Staðfestu höfnunina og afganginn

Tengstu frá lokuðu auðkenninu og staðfestu bilunina, tengstu svo frá leyfðum jafningja og staðfestu að hann nái enn því sem hann þarf. Breyting sem brýtur alla er ekki vel heppnuð afturköllun. Gerðu bæði frá nýjum setum, því skyndiminnið getur falið niðurstöðuna.

Athugaðu hvort núverandi seta endar eftir breytinguna og skráðu hegðunina fyrir þína útgáfu og stillingu í stað þess að gera ráð fyrir að breyting á skrá stöðvi eitthvað. Valkosturinn disconnect_invalid nær yfir biðlara sem eru með útrunnin eða ógild skírteini, svo staðfestu hvernig hann á við þitt tilvik áður en þú treystir á hann. Ef tafarlaus stöðvun er krafa, prófaðu hana sérstaklega og skráðu það sem þú sást. Endurtaktu svo prófið eftir endurræsingu, því hýsill sem framfylgir listanum aðeins þar til næsta endurræsing hefur afhendingarvandamál sem fyrra prófið huldi. Heilbrigður viti segir þér að uppgötvun virki, ekki að einhver jafningi hafi beitt stefnu.