Nebula-ს ბლოკსია: გაავრცელეთ ის, შუქურა ამას არ გააკეთებს

ბლოკსიის აღსრულება შემოწმების შემსრულებელი ჰოსტის თვისებაა და არა შესამოწმებელი სერტიფიკატისა. მანქანა, რომელსაც ჩანაწერი არასდროს ჩაუტვირთავს, იდენტობის მიღებას განაგრძობს და ხელის ჩამორთმევაში არაფერი გაფრთხილებთ, რომ ორი პირი არ თანხმდება. ერთი გამჟღავნებული რწმუნებულებისთვის იაფი და ძვირი გადაწყვეტა განსხვავდება მოცვითა და შექცევადობით, ამიტომ შეგნებულად აირჩიეთ. ქვემოთ მოცემული სექციები განიხილავს, რას აკეთებს ჩანაწერი, სად უნდა მიიტანოს ის, როდის არის როტაცია უკეთესი პასუხი და როგორ დავამტკიცოთ, რომ რომელიმე მათგანმა იმუშავა.

რას აკეთებს სინამდვილეში ბლოკსიის ჩანაწერი

PKI კონფიგურაცია ჩამოთვლის ანაბეჭდებს, რომლებიც ჰოსტმა უნდა უარყოს, მაშინაც კი, როცა სერტიფიკატი ვალიდურად არის ხელმოწერილი და ვადა არ გაუვიდა. აღსრულება ხდება ლოკალურად, იმ სიის მიმართ, რომელიც ამ ჰოსტმა სერვისის დაწყებისას ჩატვირთა. ჩანაწერის შესახებ არაფერი მოგზაურობს სერტიფიკატის შიგნით, ამიტომ პირს არ შეუძლია გადაწყვეტილება ისწავლოს მისთვის ნაჩვენები რწმუნებულებიდან. ამიტომ შუქურას აქ არავითარი როლი არ აქვს: შუქურები ეხმარება პირებს ერთმანეთის პოვნაში და ტრაფიკის გადაცემაში, სადაც პირდაპირი გზა ვერ მუშაობს. ისინი აღმოჩენისა და გადაცემის შრე არიან, და არა კონფიგურაციის გავრცელების არხი.

ერთი მანქანის განახლება ცვლის ამ მანქანის გადაწყვეტილებებს და ყველა სხვა პირს ტოვებს ზუსტად ისე, როგორც იყო. პირს, რომელიც ენდობა ხელმომწერ ორგანოს და არასდროს უნახავს ჩანაწერი, არაფრის უარყოფის მიზეზი არ აქვს. ამიტომ შუქურაზე დაკვირვებით გაუქმების შემოწმება არაფერს ამტკიცებს, რადგან კომპონენტს, რომელსაც აკვირდებით, არასდროს მოუთხოვიათ სიის აღსრულება.

იდენტიფიცირეთ სერტიფიკატი და არა მოწყობილობა

გამოიყენეთ იმ რწმუნებულების ანაბეჭდი, რომლის უარყოფაც გსურთ, რადგან ჰოსტის სახელი, მოწყობილობის ეტიკეტი ან მიმდინარე მისამართი დღეს მანქანას იდენტიფიცირებს, ხოლო მომავალ თვეს სხვა რამეს. ამ სტრიქონებიდან არც ერთი არ ჩანს ბლოკსიაში და არც ერთი არ გადარჩება გადაყენებას. დაბეჭდეთ სერტიფიკატი, წაიკითხეთ ანაბეჭდი და შეამოწმეთ, რომ ის გამოდინარე რწმუნებულებას ეკუთვნის და არა მის შემცვლელს. ორივე ფაილის წაკითხვა მნიშვნელოვანია, როცა შემცვლელი უკვე გაცემულია, რადგან ძველ და ახალ სერტიფიკატს შეიძლება სახელი გაიზიაროს და ყველა სხვა ველში განსხვავდებოდეს.

ჩაწერეთ, რომელი ანაბეჭდი დაიბლოკა და როდის, რათა შემდგომმა აუდიტმა დასრულებული ცვლილება განასხვავოს განზრახულისგან. ასევე აღნიშნეთ, რას არ აკეთებს ჩანაწერი: ის არ აუქმებს ხელმომწერ ორგანოს და არ უშლის ხელს ამ ორგანოს მომავალი სერტიფიკატის მიღებას. ჰოსტის სერტიფიკატის დაბლოკვა და კომპრომიტირებული ორგანოს შეცვლა სხვადასხვა ოპერაციაა სხვადასხვა შედეგით.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

გაავრცელეთ ის ნებისმიერი სხვა კონფიგურაციის მსგავსად

მოეპყარით სიას როგორც კონფიგურაციას მიწოდების მექანიზმით და არა როგორც ფაილს, რომელსაც ვინმე ასწორებს, როცა გაიხსენებს. გაგზავნეთ მთელი სია და არა დელტა, რათა ჰოსტი, რომელმაც ადრინდელი განახლება გამოტოვა, დაეწიოს და არ დაგროვოს ხარვეზები. Nebula PKI-ის დოკუმენტაცია ზუსტად ამას გვირჩევს და ღირს რჩევის პირდაპირი დაცვა, ვიდრე მისი ხელით პროცესად გადაკეთება.

დაადასტურეთ, რომ გაშვებულმა სერვისმა შიგთავსი ხელახლა ჩატვირთა, და არა მხოლოდ ის, რომ დისკზე ფაილი შეიცვალა. თვალყური ადევნეთ, რომელმა მანქანებმა გამოიყენეს ცვლილება, და დარჩენილი სია თვალსაჩინოდ შეინახეთ, სანამ ცარიელი გახდება. კვირით დახურული პორტატული კომპიუტერი პირია, რომელმაც გადაწყვეტილება არასდროს ისწავლა და შეიძლება ხელახლა დაუკავშირდეს ისეთ ქსელს, რომელსაც არავინ ელოდა. ჩაწერეთ მიწოდების მეთოდი ანაბეჭდის გვერდით, რადგან შემდეგი გაუქმება მას ხელახლა გამოიყენებს და პირველზე ხდება პროცესის გამართვა.

ბლოკსია თუ ორგანოს როტაცია

ბლოკსიის ჩანაწერი ვიწროა: ერთი იდენტობა წყვეტს მუშაობას და დანარჩენი ყველაფერი გრძელდება. ხელმომწერი ორგანოს როტაცია ფართოა: მის მიერ გაცემული ყველა სერტიფიკატი აღარ იქნება სანდო და ყველა ჰოსტს სჭირდება ახალი რწმუნებულება და ახალი ნდობის საყრდენი. პირველი მიზნობრივი გაუქმებაა, მეორე კი მიგრაცია, ამიტომ მათ სხვადასხვა დამტკიცება და სხვადასხვა ტექნიკური მომსახურების ფანჯარა სჭირდება. ცხრილი ორივეს გვერდიგვერდ აყენებს მოცვის, ძალისხმევისა და შექცევადობის მიხედვით.

დაკარგული პორტატული კომპიუტერი ბლოკსიას მოითხოვს, რადგან ზიანის რადიუსი ერთი იდენტობაა და ცვლილება შექცევადია, თუ არასწორი ანაბეჭდი დაბლოკეთ. გაჟონილი ორგანოს გასაღები როტაციას მოითხოვს, რადგან ბლოკსია ვერ დაეხმარება ჯერ გაუცემელ სერტიფიკატებს. ამ უკიდურესობებს შორის იკითხეთ, შეეძლო თუ არა გამჟღავნებულ რწმუნებულებას სხვა რამის ხელმოწერა, რადგან ორგანო ერთ ჰოსტზე მეტია.

ჩაწერეთ გადაწყვეტილება ინციდენტამდე, რადგან ზეწოლის ქვეშ არჩევა ჩვეულებრივ ნაგულისხმევად ფართო ვარიანტს იძლევა. რომელი გზაც არ უნდა აირჩიოთ, დარჩენილი სამუშაო ერთია: დაამტკიცეთ, რომ აღსრულება მოხდა იმ ჰოსტებზე, რომლებიც მნიშვნელოვანია. სწორედ ანაბეჭდისა და თარიღის იმ მომენტში ჩაწერა ხდის მტკიცებას შესაძლებელს მოგვიანებით.

შეამოწმეთ უარყოფა და დარჩენილი

დაუკავშირდით დაბლოკილი იდენტობიდან და დაადასტურეთ ჩავარდნა, შემდეგ დაუკავშირდით უფლებამოსილი პირიდან და დაადასტურეთ, რომ ის კვლავ აღწევს იმას, რაც სჭირდება. ცვლილება, რომელიც ყველას ამტვრევს, წარმატებული გაუქმება არ არის. ორივე ახალი სესიიდან გააკეთეთ, რადგან ქეშირებული მდგომარეობა შედეგს დამალავს.

შეამოწმეთ, წყდება თუ არა დამყარებული სესია ცვლილების შემდეგ, და ჩაწერეთ ქცევა თქვენი ვერსიისა და კონფიგურაციისთვის, ნაცვლად იმისა, რომ ჩათვალოთ, თითქოს ფაილის რედაქტირება რაღაცას წყვეტს. disconnect_invalid ოფცია ფარავს კლიენტებს, რომელთა სერტიფიკატებიც ვადაგასული ან არავალიდურია, ამიტომ დაადასტურეთ, როგორ ვრცელდება ის თქვენს შემთხვევაზე, სანამ მას დაეყრდნობით. თუ დაუყოვნებელი შეწყვეტა მოთხოვნაა, სპეციალურად გამოსცადეთ და ჩაწერეთ, რაც დააკვირდით. შემდეგ გაიმეორეთ ტესტი გადატვირთვის შემდეგ, რადგან ჰოსტს, რომელიც სიას მხოლოდ შემდეგ გადატვირთვამდე ასრულებს, მიწოდების პრობლემა აქვს, რომელიც პირველმა ტესტმა დამალა. ჯანსაღი შუქურა გეუბნებათ, რომ აღმოჩენა მუშაობს და არა ის, რომ რომელიმე პირმა პოლიტიკა გამოიყენა.