Nebula-ға үш файл керек: CA, хост сертификаты және хост кілті

Біреуге Nebula қалтасын берсеңіз, ол әдетте бәрін көшіреді, соның ішінде жұмыс станцияңыздан ешқашан шықпауы тиіс файлды да. Шатасу түсінікті, өйткені хосттың PKI блогындағы үш файл бір-біріне ұқсайды және олардың екеуі сертификат. Әрқайсысы басқа сұраққа жауап береді және олардың тек екеуі түйінге тиесілі. Бірдеңе көшіруден бұрын оларды рөлі бойынша сұрыптаңыз.

Үш файл, үш түрлі іс

CA сертификаты — сенім тірегі: ол басқа хост өз сәйкестігін ұсынғанда қай органдарға сену керектігін хостқа айтады. Хост сертификаты — түйіннің өз куәлігі, оған сол орган қол қояды. Хост кілті — оның сәйкес жеке жартысы және дәл бір машинаға тиесілі. CA сертификаты мен өз жұбы бар түйін overlay-ге қосылып, кім екенін дәлелдей алады. Басқа біреудің кілті бар түйін де өзін сол адам ретінде көрсете алады, және бұл схема дәл осы ақаудың алдын алу үшін бар.

Сондықтан жұмыс істеп тұрған хост қалтасын екінші машинаға көшіру қысқа жол емес. Бұл нәтижесі алдын ала белгілі қайталанған сәйкестік.

Қол қою кілті ешқашан сапар шекпейді

CA қол қою кілті ешбір хост конфигурациясының бөлігі емес. Ол жаңа сәйкестіктер жасайды және оны ұстаған адам кез келген overlay мекенжайы мен кез келген топ үшін сертификат шығара алады. Серіктестерге қолтаңбаларды тексеру үшін тек ашық CA сертификаты керек, сондықтан жеке жартысының клиентте ешқандай рөлі жоқ. Оны сертификаттар шығарылатын машинада сақтаңыз және кездейсоқ көшірмені жеңілдік емес, оқиға ретінде қарастырыңыз.

Егер сертификаттарды бірнеше адам шығаруы керек болса, оларға кілттің көшірмесін емес, процес беріңіз. Ноутбуктағы ортақ қол қою кілті — ешкім тексере де, жоя да алмайтын билік.

Хост сертификатының ішінде не бар

Хост сертификаты кілтке файл атауынан көбін байланыстырады. Ол түйіннің overlay мекенжайын, атауын және топ мүшелігін алып жүреді, бәріне қол қойылған, сондықтан серіктес оны қабылдау-қабылдамауды шеше алады. Сондықтан хосттың атын өзгерту конфигурация жолын өңдеу емес, жаңа сертификат шығару дегенді білдіреді.

nebula-cert print -path host.crt нақты ненің шығарылғанын көрсетеді. Сертификатта өзіңіз көздеген мекенжай бар деп есептемес бұрын оны оқыңыз.

Қайта жүктеу әрдайым жеткіліксіз

Кейбір PKI параметрлері сигнал бойынша қайта жүктеледі, кейбіреулері жүктелмейді. Overlay мекенжайы өзгерген сертификат — қайта жүктеудің орнына процесті қайта іске қосуды талап ететін классикалық жағдай.

Іске қосылған процесс шын мәнінде қай жолдарды ашқанын растаңыз, конфигурация файлы атайтын жолдарды ғана емес. Содан кейін бір куәлікті өзгертіп, қосылым мен журналдарды тексеріңіз, содан кейін ғана келесісіне көшіңіз. Ескі сертификат жадыда қалған күйі сәтті болып көрінетін қайта жүктеу маршруттау мәселесіне ұқсайтын сәйкессіздік тудырады. Қайта іске қосу арзан; overlay-дің жартысы әлі ескіше көретін сәйкестікті жөндеу арзан емес.

Сәйкестікті жою блогтау тізімін қажет етеді

Жоғалған немесе ашылған куәлікті ауыстырудың екі жартысы бар. Жаңа сертификат қолжетімділікті қалпына келтіреді, ал ескі сәйкестік қабылданбауы керек. Бұл бөлек операциялар және тек біріншісін орындау бұзылған куәлікті жарамды күйде қалдырады.

Блогтау тізімі — сіз хосттарға тарататын файл, ал lighthouse өзі жіберетін нәрсе емес. Оның әрбір түйінге қалай жететінін жоспарлаңыз, бүгін желіде жоқтарын қоса, және қандай саусақ іздерін блогтағаныңызды жазып алыңыз. Шығаратын машинада кілтті айналдырыңыз және жаңа сертификаттың деректерін хост жазбасымен бірге сақтаңыз. Тек өзіңіз өңдеген машинада ғана бар кері қайтару — кері қайтару емес.