Nebula блогтық тізімі: оны таратыңыз, шамшырақ мұны істемейді

Блогтық тізімнің орындалуы тексеруді жүргізетін хосттың қасиеті, тексерілетін сертификаттың емес. Жазбаны ешқашан жүктемеген машина сәйкестікті қабылдауды жалғастырады және қол соғу барысында екі серіктестің келіспейтіні туралы ештеңе ескертпейді. Бір ашылған тіркелгі деректері үшін арзан және қымбат шешім қамту мен қайтарымдылық бойынша ерекшеленеді, сондықтан әдейі таңдаңыз. Төмендегі бөлімдер жазбаның не істейтінін, оны қайда жеткізу керектігін, айналдыру қашан жақсырақ жауап екенін және екеуінің бірі жұмыс істегенін қалай дәлелдеу керектігін қамтиды.

Блогтық тізім жазбасы шын мәнінде не істейді

PKI конфигурациясы сертификат заңды түрде қол қойылып, мерзімі өтпегеннің өзінде хост қабылдамауға тиіс саусақ іздерін тізімдейді. Орындалу жергілікті түрде, хост қызметті іске қосқанда жүктеген тізімге қарсы жүреді. Жазба туралы ештеңе сертификаттың ішінде жүрмейді, сондықтан серіктес өзіне көрсетілген тіркелгі деректерінен шешімді біле алмайды. Сондықтан бұл жерде шамшырақ ешқандай рөл атқармайды: шамшырақтар серіктестерге бір-бірін табуға және тікелей жол сәтсіз болған жерде трафикті жеткізуге көмектеседі. Олар табу және жеткізу қабаты, конфигурацияны тарату арнасы емес.

Бір машинаны жаңарту сол машинаның шешімдерін өзгертеді және қалған барлық серіктесті дәл бұрынғы күйінде қалдырады. Қол қою органына сенетін және жазбаны ешқашан көрмеген серіктестің ештеңені қабылдамауға себебі жоқ. Сондықтан шамшыраққа қарап кері қайтаруды тексеру ештеңені дәлелдемейді, өйткені сіз бақылап отырған құрамдас бөліктен тізімді орындау ешқашан талап етілмеген.

Сертификатты анықтаңыз, құрылғыны емес

Қабылдамақшы болған тіркелгі деректерінің саусақ ізін пайдаланыңыз, өйткені хост атауы, құрылғы белгісі немесе ағымдағы мекенжай бүгін машинаны, ал келесі айда басқа нәрсені анықтайды. Бұл жолдардың ешқайсысы блогтық тізімде көрінбейді және ешқайсысы қайта орнатудан кейін сақталмайды. Сертификатты басып шығарыңыз, саусақ ізін оқыңыз және ол шығарылып жатқан тіркелгі деректеріне тиесілі екенін, оның орнын басушыға емес екенін тексеріңіз. Ауыстырушы әлдеқашан берілген болса, екі файлды да оқу маңызды, өйткені ескі және жаңа сертификат атты бөлісіп, қалған барлық өрістерде ерекшеленуі мүмкін.

Қай саусақ ізі қашан бұғатталғанын жазып алыңыз, кейінгі аудит аяқталған өзгерісті жоспарланғаннан ажырата алады. Жазбаның не істемейтінін де белгілеңіз: ол қол қою органын жарамсыз етпейді және сол органның болашақ сертификатының қабылдануына кедергі келтірмейді. Хост сертификатын бұғаттау және бұзылған органды ауыстыру әртүрлі салдарлары бар әртүрлі операциялар.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Оны кез келген басқа конфигурация сияқты таратыңыз

Тізімді еске түскенде біреу өңдейтін файл ретінде емес, жеткізу механизмі бар конфигурация ретінде қарастырыңыз. Толық тізімді дельтаның орнына жіберіңіз, сонда бұрынғы жаңартуды өткізіп алған хост олқылықтар жинаудың орнына жинақталады. Nebula PKI құжаттамасы дәл осыны ұсынады және кеңесті қолмен жасалатын процеске айналдырудың орнына сөзбе-сөз ұстанған жөн.

Жұмыс істеп тұрған қызмет мазмұнды қайта жүктегенін растаңыз, дискідегі файл ғана өзгергенін емес. Қай машиналар өзгерісті қолданғанын қадағалаңыз және қалған тізімді бос болғанша көрінетін күйде ұстаңыз. Апта бойы жабық ноутбук шешімді ешқашан үйренбеген серіктес және ешкім күтпеген желіден қайта қосылуы мүмкін. Жеткізу әдісін саусақ ізінің жанына жазыңыз, өйткені келесі кері қайтару оны қайта пайдаланады және процесс біріншісінде реттеледі.

Блогтық тізім немесе органды айналдыру

Блогтық тізім жазбасы тар: бір сәйкестік жұмысын тоқтатады, қалғанының бәрі жалғасады. Қол қою органын айналдыру кең: ол берген әрбір сертификат сенімсіз болады және әрбір хостқа жаңа тіркелгі деректері мен жаңа сенім тірегі қажет. Біріншісі мақсатты кері қайтару, екіншісі көшіру, сондықтан оларға түрлі мақұлдаулар мен түрлі техникалық қызмет көрсету терезелері қажет. Кесте екеуін қамту, күш және қайтарымдылық бойынша қатар қояды.

Жоғалған ноутбук блогтық тізімді талап етеді, өйткені залал радиусы бір сәйкестік және қате саусақ ізін бұғаттасаңыз, өзгеріс қайтарымды. Сыналған орган кілті айналдыруды талап етеді, өйткені блогтық тізім әлі берілмеген сертификаттарға көмектесе алмайды. Осы шеткі жағдайлардың арасында ашылған тіркелгі деректері тағы бірдеңеге қол қоя алар ма еді деп сұраңыз, өйткені орган бір хосттан үлкен.

Шешімді оқиғаға дейін жазып қойыңыз, өйткені қысым астында таңдау әдетте кең нұсқаны әдепкі бойынша береді. Қай жолды таңдасаңыз да, қалған жұмыс бірдей: маңызды хосттарда орындалу болғанын дәлелдеу. Дәл сол сәтте саусақ ізі мен күнді жазу кейін дәлелдеуді мүмкін етеді.

Бас тартуды және қалғанын тексеріңіз

Бұғатталған сәйкестіктен қосылып, сәтсіздікті растаңыз, содан кейін рұқсат етілген серіктестен қосылып, оның қажетіне әлі жететінін растаңыз. Барлығын бұзатын өзгеріс сәтті кері қайтару емес. Екеуін де жаңа сессиялардан жасаңыз, өйткені кэштелген күй нәтижені жасыруы мүмкін.

Өзгерістен кейін орнатылған сессия аяқтала ма, соны тексеріңіз және файлды өңдеу бірдеңені тоқтатады деп болжаудың орнына өз нұсқаңыз бен конфигурацияңыз үшін әрекетті жазып алыңыз. disconnect_invalid опциясы сертификаттары мерзімі өткен немесе жарамсыз клиенттерді қамтиды, сондықтан оған сүйенбес бұрын оның сіздің жағдайыңызға қалай қолданылатынын растаңыз. Егер бірден тоқтату талап болса, оны арнайы тексеріп, байқағаныңызды жазыңыз. Содан кейін қайта жүктеуден кейін тестті қайталаңыз, өйткені тізімді тек келесі қайта жүктеуге дейін орындайтын хосттың жеткізу мәселесі бар, оны бірінші тест жасырған. Сау шамшырақ табу жұмыс істейтінін айтады, ал қандай да бір серіктестің саясатты қолданғанын емес.