Nebula-ს სამი ფაილი სჭირდება: CA, ჰოსტის სერტიფიკატი და ჰოსტის გასაღები

თუ ვინმეს Nebula-ს საქაღალდეს მისცემთ, ჩვეულებრივ ყველაფერს დააკოპირებს, მათ შორის იმ ფაილსაც, რომელიც არასდროს უნდა გავიდეს თქვენი სამუშაო სადგურიდან. დაბნეულობა გასაგებია, რადგან ჰოსტის PKI ბლოკში სამი ფაილი ერთმანეთს ჰგავს და ორი მათგანი სერტიფიკატია. თითოეული სხვა კითხვას პასუხობს და მხოლოდ ორი მათგანი ეკუთვნის კვანძს. სანამ რამეს დააკოპირებთ, როლის მიხედვით დაალაგეთ ისინი.

სამი ფაილი, სამი განსხვავებული საქმე

CA სერტიფიკატი ნდობის საყრდენია: ის ჰოსტს ეუბნება, რომელ ორგანოებს ენდოს, როცა სხვა ჰოსტი თავის ვინაობას წარადგენს. ჰოსტის სერტიფიკატი თავად კვანძის სერტიფიკატია, რომელსაც ეს ორგანო აწერს ხელს. ჰოსტის გასაღები მისი შესაბამისი პირადი ნახევარია და ზუსტად ერთ მანქანას ეკუთვნის. კვანძს, რომელსაც CA სერტიფიკატი და საკუთარი წყვილი აქვს, შეუძლია overlay-ს შეუერთდეს და დაამტკიცოს, ვინ არის. კვანძს, რომელსაც სხვისი გასაღები აქვს, ასევე შეუძლია თავი იმ ადამიანად გაასაღოს და სწორედ ეს ხარვეზია, რომლის თავიდან ასაცილებლადაც ეს განლაგება არსებობს.

ამიტომ მომუშავე ჰოსტის საქაღალდის მეორე მანქანაზე კოპირება მოკლე გზა არ არის. ეს წინასწარ ცნობადი შედეგის მქონე გაორმაგებული ვინაობაა.

ხელმოწერის გასაღები არასდროს მოგზაურობს

CA-ის ხელმოწერის გასაღები არც ერთი ჰოსტის კონფიგურაციის ნაწილი არ არის. ის ახალ ვინაობებს ქმნის და ვისაც ის აქვს, შეუძლია სერტიფიკატი გასცეს ნებისმიერი overlay მისამართისა და ნებისმიერი ჯგუფისთვის. პირებს ხელმოწერების შესამოწმებლად მხოლოდ საჯარო CA სერტიფიკატი სჭირდებათ, ამიტომ პირად ნახევარს კლიენტზე საერთოდ არანაირი როლი არ აქვს. შეინახეთ ის მანქანაზე, სადაც სერტიფიკატები გაიცემა, და შემთხვევით ასლს ინციდენტად მოეპყარით, არა სიმარტივედ.

თუ რამდენიმე ადამიანს სჭირდება სერტიფიკატების გაცემა, მიეცით მათ პროცესი და არა გასაღების ასლი. ლეპტოპზე გაზიარებული ხელმოწერის გასაღები ისეთი უფლებამოსილებაა, რომლის აუდიტი ან გაუქმება არავის შეუძლია.

რა არის ჰოსტის სერტიფიკატის შიგნით

ჰოსტის სერტიფიკატი გასაღებთან უფრო მეტს აკავშირებს, ვიდრე ფაილის სახელს. ის ატარებს კვანძის overlay მისამართს, სახელს და ჯგუფურ წევრობას, ყველაფერი ხელმოწერილია, რათა პირმა გადაწყვიტოს, მიიღოს თუ არა ის. ამიტომ ჰოსტის გადარქმევა ნიშნავს ახალი სერტიფიკატის გაცემას და არა კონფიგურაციის სტრიქონის რედაქტირებას.

nebula-cert print -path host.crt გვიჩვენებს, რა გაიცა სინამდვილეში. წაიკითხეთ ის, სანამ ჩათვლით, რომ სერტიფიკატი თქვენს მიერ განზრახული მისამართს ატარებს.

ხელახლა ჩატვირთვა ყოველთვის არ კმარა

PKI-ის ზოგი პარამეტრი სიგნალზე ხელახლა იტვირთება, ზოგი კი არა. სერტიფიკატი, რომლის overlay მისამართიც შეიცვალა კლასიკური შემთხვევაა, რომელიც პროცესის გადატვირთვას მოითხოვს და არა ხელახლა ჩატვირთვას.

დაადასტურეთ, რომელი გზები გახსნა მართლაც მოქმედმა პროცესმა და არა მხოლოდ ის, რომელ გზებს ასახელებს კონფიგურაციის ფაილი. შემდეგ შეცვალეთ ერთი სერტიფიკატი, შეამოწმეთ კავშირი და ჟურნალები და მხოლოდ ამის შემდეგ გადადით შემდეგზე. ხელახლა ჩატვირთვა, რომელიც წარმატებულად გამოიყურება, სანამ ძველი სერტიფიკატი მეხსიერებაში რჩება, ქმნის შეუსაბამობას, რომელიც მარშრუტიზაციის პრობლემას ჰგავს. გადატვირთვა იაფია; იმ ვინაობის გამართვა, რომელსაც overlay-ის ნახევარი ჯერ კიდევ ძველებურად ხედავს, იაფი არ არის.

ვინაობის მოცილებას ბლოკ-სია სჭირდება

დაკარგული ან გამჟღავნებული სერტიფიკატის შეცვლას ორი ნახევარი აქვს. ახალი სერტიფიკატი წვდომას აღადგენს და ძველი ვინაობა უნდა შეწყდეს მიღებად. ეს ცალკეული ოპერაციებია და მხოლოდ პირველის შესრულება კომპრომიტირებულ სერტიფიკატს ძალაში ტოვებს.

ბლოკ-სია ფაილია, რომელსაც თქვენ ავრცელებთ ჰოსტებზე და არა ის, რასაც lighthouse თავისით აგზავნის. დაგეგმეთ, როგორ მიაღწევს ის ყველა კვანძამდე, მათ შორის დღეს ხაზგარეშე მყოფებამდე, და ჩაიწერეთ, რომელი ანაბეჭდები დაბლოკეთ. დაატრიალეთ გასაღები გამცემ მანქანაზე და ახალი სერტიფიკატის დეტალები ჰოსტის ჩანაწერთან ერთად შეინახეთ. გაუქმება, რომელიც მხოლოდ თქვენს მიერ რედაქტირებულ მანქანაზე არსებობს, გაუქმება არ არის.