Nebula þarf þrjár skrár: CA, hýsilsvottorð og hýsilslykil

Ef þú gefur einhverjum Nebula-möppu afritar hann yfirleitt allt, þar á meðal skrána sem á aldrei að fara frá vinnustöðinni þinni. Ruglingurinn er skiljanlegur, því þrjár skrárnar í PKI-blokki hýsils líkjast og tvær þeirra eru vottorð. Hver þeirra svarar annarri spurningu, og aðeins tvær eiga heima á hnútnum. Raðaðu þeim eftir hlutverki áður en þú afritar nokkuð.

Þrjár skrár, þrjú ólík verk

CA-vottorðið er traustsakkeri: það segir hýsli hvaða yfirvöldum eigi að treysta þegar annar hýsill kynnir auðkenni sitt. Hýsilsvottorðið er eigið skilríki hnútsins, undirritað af því yfirvaldi. Hýsilslykillinn er samsvarandi einkahluti og tilheyrir nákvæmlega einni vél. Hnútur með CA-vottorðið og eigið par getur gengið í overlayið og sannað hver hann er. Hnútur með lykil einhvers annars getur líka þóst vera sá aðili, og það er bilunin sem þessu fyrirkomulagi er ætlað að koma í veg fyrir.

Að afrita virka hýsilmöppu á aðra vél er því ekki flýtileið. Það er tvöfalt auðkenni með fyrirsjáanlegri niðurstöðu.

Undirritunarlykillinn ferðast aldrei

CA-undirritunarlykillinn er ekki hluti af neinni hýsiluppsetningu. Hann býr til ný auðkenni, og hver sem hefur hann getur gefið út vottorð fyrir hvaða overlay-vistfang og hvaða hóp sem er. Jafningjar þurfa aðeins opinbera CA-vottorðið til að staðfesta undirritanir, svo einkahlutinn hefur alls ekkert hlutverk á biðlara. Geymdu hann á vélinni þar sem vottorð eru gefin út, og meðhöndlaðu óviljandi afrit sem atvik, ekki sem þægindi.

Ef nokkrir þurfa að gefa út vottorð skaltu gefa þeim ferli í stað afrits af lyklinum. Sameiginlegur undirritunarlykill á fartölvu er vald sem enginn getur endurskoðað eða afturkallað.

Hvað er inni í hýsilsvottorði

Hýsilsvottorð bindur meira en skráarnafn við lykil. Það ber overlay-vistfang hnútsins, nafn hans og hópaaðild, allt undirritað svo jafningi geti ákveðið hvort hann samþykkir það. Þess vegna þýðir endurnefning hýsils að gefa út nýtt vottorð, ekki að breyta uppsetningarlínu.

nebula-cert print -path host.crt sýnir hvað var raunverulega gefið út. Lestu það áður en þú gerir ráð fyrir að vottorðið beri vistfangið sem þú ætlaðir.

Endurhleðsla er ekki alltaf nóg

Sumar PKI-stillingar hlaðast aftur við merki, aðrar ekki. Vottorð sem overlay-vistfang þess hefur breyst er hið klassíska tilvik sem krefst endurræsingar ferlisins í stað endurhleðslu.

Staðfestu hvaða slóðir keyrandi ferlið opnaði í raun, ekki bara hvaða slóðir uppsetningarskráin nefnir. Breyttu þá einu skilríki, staðfestu tengingu og annála, og snertu aðeins þá næstu eftir það. Endurhleðsla sem virðist takast á meðan gamla vottorðið er áfram í minni skapar misræmi sem lítur út eins og leiðarpóstvandamál. Endurræsing er ódýr; að kemba auðkenni sem helmingur overlaysins sér enn á gamla háttinn er það ekki.

Að fjarlægja auðkenni krefst bannlista

Að skipta um glatað eða afhjúpað skilríki hefur tvo helminga. Nýja vottorðið endurheimtir aðgang, og gamla auðkennið verður að hætta að vera samþykkt. Þetta eru aðskildar aðgerðir, og að gera aðeins þann fyrri lætur hið afhjúpaða skilríki í gildi.

Bannlistinn er skrá sem þú dreifir til hýsla, ekki eitthvað sem lighthouse sendir út sjálft. Skipuleggðu hvernig hún berst til hvers hnúts, þar á meðal þeirra sem eru ótengdir í dag, og skráðu hvaða fingraför þú bannaðir. Snúðu lyklinum á útgáfuvélinni og geymdu upplýsingar nýja vottorðsins með hýsilsfærslunni. Afturköllun sem er aðeins til á vélinni sem þú breyttir er ekki afturköllun.