Nebula кара тизмеси: аны таратыңыз, маяк муну кылбайт

Кара тизмени аткаруу текшерүүнү жүргүзгөн хосттун касиети, текшерилип жаткан сертификаттын эмес. Жазууну эч качан жүктөбөгөн машина инсандыкты кабыл алууну улантат жана кол кармашууда эки өнөктөш макул эмес экенин эч нерсе эскертпейт. Бир ачылган ыйгарым укук үчүн арзан жана кымбат чечим камтуу жана кайтаруу мүмкүнчүлүгү боюнча айырмаланат, ошондуктан атайылап тандаңыз. Төмөнкү бөлүмдөр жазуу эмне кылаарын, аны кайда жеткирүү керектигин, айландыруу качан жакшыраак жооп экенин жана экөөнүн бири иштегенин кантип далилдөөнү камтыйт.

Кара тизме жазуусу чындыгында эмне кылат

PKI конфигурациясы сертификат мыйзамдуу кол коюлган жана мөөнөтү бүтө элек болсо да хост четке кагууга тийиш болгон манжа изин тизмелейт. Аткаруу жергиликтүү түрдө, хост кызмат башталганда жүктөгөн тизмеге каршы жүрөт. Жазуу тууралуу эч нерсе сертификаттын ичинде жүрбөйт, ошондуктан өнөктөш өзүнө көрсөтүлгөн ыйгарым укуктан чечимди үйрөнө албайт. Ошондуктан бул жерде маяктын эч кандай роли жок: маяктар өнөктөштөргө бирин-бирин табууга жана түз жол ишке ашпаган жерде трафикти өткөрүүгө жардам берет. Алар табуу жана өткөрүү катмары, конфигурацияны таратуу каналы эмес.

Бир машинаны жаңыртуу ошол машинанын чечимдерин өзгөртөт жана калган ар бир өнөктөштү так мурункудай калтырат. Кол коюу органына ишенген жана жазууну эч көрбөгөн өнөктөштүн эч нерсени четке кагууга негизи жок. Ошондуктан маякка карап жокко чыгарууну текшерүү эч нерсени далилдебейт, анткени сиз байкап жаткан компоненттен тизмени аткаруу эч качан талап кылынган эмес.

Сертификатты аныктаңыз, түзмөктү эмес

Четке каккыңыз келген ыйгарым укуктун манжа изин колдонуңуз, анткени хосттун аты, түзмөктүн белгиси же учурдагы дарек бүгүн машинаны, ал эми кийинки айда башка нерсени аныктайт. Бул саптардын бири да кара тизмеде көрүнбөйт жана бири да кайра орнотуудан кийин сакталбайт. Сертификатты басып чыгарыңыз, манжа изин окуңуз жана ал кетип жаткан ыйгарым укукка таандык экенин, анын ордун басуучуга эмес экенин текшериңиз. Алмаштыруучу мурун эле берилген болсо, эки файлды тең окуу маанилүү, анткени эски жана жаңы сертификат атты бөлүшүп, калган бардык талааларда айырмаланышы мүмкүн.

Кайсы манжа изи качан блоктолгонун жазып алыңыз, кийинки аудит бүткөн өзгөртүүнү пландалгандан ажырата алсын. Жазуу эмнени кылбастыгын да белгилеңиз: ал кол коюу органын жараксыз кылбайт жана ошол органдын келечектеги сертификатынын кабыл алынышына тоскоол болбойт. Хост сертификатын блоктоо жана бузулган органды алмаштыруу ар башка кесепеттерге ээ ар башка операциялар.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Аны каалаган башка конфигурация сыяктуу таратыңыз

Тизмени бирөө эсине түшкөндө түзөткөн файл катары эмес, жеткирүү механизми бар конфигурация катары кабыл алыңыз. Толук тизмени дельтанын ордуна жөнөтүңүз, ошентип мурунку жаңыртууну өткөрүп жиберген хост боштуктарды топтоонун ордуна топтолот. Nebula PKI документтери так ушундай сунуштайт жана кеңешти кол менен жүргүзүлүүчү процесске айландыруунун ордуна сөзмө-сөз карманган жөн.

Иштеп жаткан кызмат мазмунду кайра жүктөгөнүн ырастаңыз, дисктеги файл гана өзгөргөнүн эмес. Кайсы машиналар өзгөртүүнү колдонгонун көзөмөлдөңүз жана калган тизмени бош болгонго чейин көрүнүктүү кармаңыз. Бир жума жабык ноутбук чечимди эч үйрөнбөгөн өнөктөш жана эч ким күтпөгөн тармактан кайра туташы мүмкүн. Жеткирүү ыкмасын манжа изинин жанына жазыңыз, анткени кийинки жокко чыгаруу аны кайра колдонот жана процесс биринчисинде гана жөнгө салынат.

Кара тизме же органды айландыруу

Кара тизме жазуусу тар: бир инсандык иштебей калат, калганынын баары уланат. Кол коюу органын айландыруу кенен: ал берген ар бир сертификат ишенимсиз болот жана ар бир хостко жаңы ыйгарым укук менен жаңы ишеним таянычы керек. Биринчиси максаттуу жокко чыгаруу, экинчиси көчүрүү, ошондуктан аларга ар башка уруксаттар жана ар башка тейлөө терезелери керек. Таблица экөөнү камтуу, күч жана кайтаруу мүмкүнчүлүгү боюнча катар коёт.

Жоголгон ноутбук кара тизмени талап кылат, анткени зыяндын радиусу бир инсандык жана туура эмес манжа изин блоктогон болсоңуз, өзгөртүү кайтарылат. Сызылып кеткен орган ачкычы айландырууну талап кылат, анткени кара тизме али берилбеген сертификаттарга жардам бере албайт. Ошол четкилердин ортосунда ачылган ыйгарым укук башка нерсеге кол коё алмак беле деп сураңыз, анткени орган бир хосттон чоң.

Окуяга чейин чечимди жазып коюңуз, анткени басым астында тандоо адатта кенен вариантты демейки түрдө берет. Кайсы жолду тандасаңыз да, калган жумуш бирдей: маанилүү хосттордо аткаруу болгонун далилдөө. Ошол учурда манжа изи менен датаны жазуу кийин далилдөөнү мүмкүн кылат.

Четке кагууну жана калганын текшериңиз

Блоктолгон инсандыктан туташып, ишке ашпоону ырастаңыз, анан уруксат берилген өнөктөштөн туташып, ал өзүнө керектүү нерсеге дагы жетээрин ырастаңыз. Баарын буза турган өзгөртүү ийгиликтүү жокко чыгаруу эмес. Экөөнү тең жаңы сессиялардан жасаңыз, анткени кэштөөлөнгөн абал натыйжаны жашырышы мүмкүн.

Өзгөртүүдөн кийин орнотулган сессия бүтөбү, аны текшериңиз жана файлды түзөтүү бир нерсени токтотот деп божомолдоонун ордуна өз версияңыз жана конфигурацияңыз үчүн жүрүм-турумду жазып алыңыз. disconnect_invalid параметри сертификаттары мөөнөтү бүткөн же жараксыз кардарларды камтыйт, ошондуктан ага таянардан мурун анын сиздин учуруңузга кантип тиешелүү экенин ырастаңыз. Эгер заматта токтотуу талап болсо, аны өзгөчө сынап, байкаганыңызды жазыңыз. Анан кайра жүктөөдөн кийин сыноону кайталаңыз, анткени тизмени кийинки кайра жүктөөгө чейин гана аткарган хосттогу жеткирүү көйгөйүн биринчи сыноо жашырган. Дени сак маяк табуу иштей турганын айтат, ал эми кайсы бир өнөктөштүн саясатты колдонгонун эмес.