Endurhleðsla Nebula-vottorðsins breytti engu IP-tölunni: hér er ástæðan

Þú gefur út nýtt hýsilvottorð með annarri overlay-tölu, afritar það yfir gömlu skrána, sendir endurhleðsluna, og hýsillinn heldur áfram að svara á tölunni sem hann hafði áður. Viðbragðið er að ætla að endurhleðslan hafi mistekist eða að röng skrá hafi verið lesin. Venjulega gerðist hvorugt: keyrandi ferlið hélt viljandi þeirri auðkennu sem það hafði þegar, vegna þess að staðgengillinn breytti einhverju sem endurhleðsla getur ekki beitt.

Stuðningur Nebula við endurhleðslu PKI er skjalfestur með þessum mörkum, og auðvelt er að missa af því þegar sama skjalið sýnir að endurhleðsla virki fyrir aðrar breytingar.

Hvað endurhleðsla les í raun aftur

Hýsilvottorð er ekki bara skilríki á sama hátt og SSH-lykill. Það ber overlay-töluna, hýsilnafnið, hópmeðlimi og gildistíma, og allt þetta er tengt saman með undirskrift CA. Þjónninn notar þetta undirrituðu efni til að ákveða hvernig hann kynnir sig og hvaða reglur gilda um hann.

Endurhleðsla gerir ferlinu kleift að taka við endurnýjuðum skilríkjum án þess að sleppa göngunum sínum, sem er dýrmætt við venjubundna snúninga: sama tala, sama nafn, sömu hópar, síðari lokun. Takmörkunin er að auðkennið verður að vera óbreytt. Skiptu um overlay-töluna og endurhleðsluleiðin getur ekki beitt henni, því talan er hluti af því sem keyrandi eintakið hefur þegar skuldbundið sig til.

Þannig að hegðunin sem þú sást er skjalfestu mörkin að sinna sínu hlutverki, ekki hljóðlát bilun. Skráin á diski er ný; auðkennið í minni er gamalt; ferlið hefur enga studda leið til að samræma þann mun án endurræsingar.

Tala, nafn og hópar eru eitt auðkenni

Það hjálpar að hugsa um vottorðið sem eina færslu frekar en mengi reita sem þú getur breytt sjálfstætt. Að færa töluna er ekki eins og að breyta stillingu, því talan birtist í jafningjauppsetningum annarra hýsla, í þjónustutengingum og í stefnum skrifuðum gegn auðkenninu.

Hópar eiga sinn eigin sess vegna þess að þeir valda hljóðlátari útgáfu af sömu rugl. Hýsill sem heldur tölunni sinni en flytur milli hópa getur náð til annarra þjónusta eftir endurræsingu, og próf sem pingar bara gömlu töluna mun virka fullkomlega heilbrigt á meðan aðgangsákvarðanir hafa breyst undir því. Athugaðu eina þjónustu sem regla nær yfir, ekki bara aðgengi. Það er munurinn á að staðfesta göngin og staðfesta stefnuna.

Berðu saman hlaðna vottorðið og staðgengilinn

Áður en þú gerir ráð fyrir að þjónninn hafi hunsað skrána, lestu báðar. Prentaðu vottorðið sem þú ætlar að hlaða og staðfestu reitina sem þú telur þig hafa breytt, staðfestu síðan að keyrandi uppsetningin vísi á þá leið en ekki afrit annars staðar.

nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)

Færibreytur ferlisins skipta meira máli en fólk á von á. Eining sem sendir -config /etc/nebula/config.yml les færsluna pki.cert í þeirri skrá, og vottorð uppsett í tímabundinni möppu hefur engin áhrif. Athugaðu leiðina í keyrandi skipanalínunni, ekki leiðina í skjölunum sem þú fylgdir. Ef þær tvennar eru ólíkar hefur þú fundið vandamálið án þess að snerta vottorðið.

Ef nýja vottorðið er með aðra tölu og ferlið hélt gömlu, þá hefur þú nú skýringu í stað ráðgátu. Endurræstu það ef það er ásættanlegt, og meðhöndla tölubreytinguna sem skipulagða netbreytingu en ekki slys.

Tölubreyting er netbreyting

Skipuleggðu þetta eins og þú myndir skipuleggja flutning á vél. Aðrir hýslar hafa ef til vill fest gömlu töluna í uppsetningu sinni, þjónustur kunna að tengjast henni skýrt, og eldveggsreglur kunna að vera skrifaðar gegn henni. Að breyta vottorðinu flytur hýsilinn, og flutningur hýsilsins ógildir forsendur annars staðar.

Hafðu aðra stjórnleið tiltæka meðan þú gerir þetta, því overlay-tengingin gæti verið sú sem þú ert að trufla. Að gera þetta yfir göngin sem þú ert að fara að brjóta er klassíska leiðin til að breyta fimm mínútna breytingu í heimsókn á staðinn.

Hvort endurræsing er ásættanleg fer eftir því hvað hýsillinn er að gera, og það er spurning um tímaáætlun, ekki tæknileg. Það sem er ekki valfrjálst er að viðurkenna endurræsingarkröfuna í stað þess að senda endurhleðsluna í fimmta sinn.

Leggðu gamla skilríkið af sérstaklega

Að setja staðgengil á eina vél skilur eftir að hver jafningi treystir enn skilríkinu sem hann þekkir þegar. Ef ástæðan fyrir breytingunni var árás, verður gamla auðkennið að vera lagt af með trausts- eða blokklistaferlinu svo jafningjar hafni því í raun.

Þetta er sérstakt skref með eigin sannprófun: staðfestu frá öðrum hýsli að gamla auðkennið virki ekki lengur, í stað þess að gera ráð fyrir að nýja skráin hafi klárað verkið. Skjöl Nebula um PKI-uppsetningu fjalla um stillingarnar sem hægt er að endurhlaða og tölutakmörkunina sem lýst er hér, og það er þess virði að lesa þau í heild áður en þú snýr einhverju í rekstri.