Nebula сертификатын кайра жүктөө IP дарегин өзгөрткөн жок: себеби мында
Кайра жүктөө хосттун эсептик маалыматын overlay дареги өзгөрүүсүз калганда гана кайра окуйт. Даректи өзгөртүү кайра иштетүүнү жана тармак өзгөрүүсүн билдирет, кайра аракетти эмес.
Сиз башка overlay дареги менен жаңы хост сертификатын чыгарасыз, аны эски файлдын үстүнө көчүрөсүз, кайра жүктөөнү жөнөтөсүз, ал эми хост мурунку дарегинде жооп берүүнү улантат. Кадимки реакция — кайра жүктөө ишке ашкан жок же туура эмес файл окулду деп ойлоо. Адатта экөө тең болгон эмес: иштеп жаткан процесс мурунтан эле бар инсандыкты атайылап сактап калды, анткени алмаштыруу кайра жүктөө колдоно албаган нерсени өзгөрттү.
Nebula’нын PKI кайра жүктөө колдоосу ушул чек менен документтелген жана ошол эле документтер кайра жүктөө башка өзгөрүүлөргө иштээрин көрсөткөндө муну байкабай калуу оңой.
Кайра жүктөө чындыгында эмнени кайра окуйт
Хост сертификаты SSH ачкычы сыяктуу жөнөкөй эсептик маалымат эмес. Ал overlay дарегин, хосттун атын, топ мүчөлүктөрүн жана жарактуулук терезесин алып жүрөт, жана булардын баары CA’нын колтамгасы менен байланышкан. Демон ушул кол коюлган мазмунду өзүн кантип көрсөтүүнү жана кайсы эрежелер колдонуларын чечүү үчүн пайдаланат.
Кайра жүктөө процесске өз туннелдерин таштабастан жаңыртылган эсептик маалыматты алууга мүмкүндүк берет, бул күндөлүк ротация үчүн баалуу: ошол эле дарек, ошол эле ат, ошол эле топтор, кийинкирээк мөөнөт. Чектөө — инсандык ошол бойдон калышы керек. Overlay дарегин өзгөртсөңүз, кайра жүктөө жолу аны колдоно албайт, анткени дарек иштеп жаткан нуска мурунтан эле милдеттенген нерсенин бөлүгү.
Ошондуктан сиз көргөн жүрүм-турум — документтелген чектөөнүн өз ишин аткарышы, үнсүз ишке ашпоочулук эмес. Дисктеги файл жаңы; эстутумдагы инсандык эски; процесстин кайра иштетүүсүз бул айырманы шайкештештирүүнүн колдоого алынган жолу жок.
Дарек, ат жана топтор — бир инсандык
Сертификатты өзүнчө оңдолуучу талаалардын жыйындысы катары эмес, бир жазуу катары кароо пайдалуу. Даректи жылдыруу тандоону өзгөртүүгө окшошпойт, анткени дарек башка хосттордун тең конфигурацияларында, кызмат байланыштарында жана инсандыкка каршы жазылган саясаттарда кездешет.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Топтор өзүнчө сапка татыктуу, анткени алар ошол эле баш аламандыктын тынчыраак версиясын жаратат. Дарегин сактап, топторун алмаштырган хост кайра иштетүүдөн кийин башка кызматтарга жетиши мүмкүн, ал эми эски дарекке гана ping жасаган текшерүү толук ден соолукта көрүнөт, бирок астында жетүү чечимдери өзгөргөн. Жеткиликтүүлүктү гана эмес, эрежемен камтылган бир кызматты текшериңиз. Туннелди ырастоо менен саясатты ырастоонун айырмасы ушунда.
Жүктөлгөн сертификатты алмаштыргыч менен салыштырыңыз
Демон файлды этибарга алган жок деп ойлоодон мурун экөөнү тең окуңуз. Жүктөөгө ниеттенген сертификатты басып чыгарып, өзгөрттүм деп ойлогон талааларды ырастаңыз, андан кийин иштеп жаткан конфигурация ошол жолду көрсөтөөрүн, башка жердеги көчүрмөнү эмес экенин ырастаңыз.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Процесстин аргументтери адамдар күткөндөн да маанилүү. -config /etc/nebula/config.yml өткөргөн бирдик ошол файлдын pki.cert жазуусун окуйт, ал эми убактылуу каталогго орнотулган сертификат эч нерсеге таасир этпейт. Иштеп жаткан буйрук сабындагы жолду текшериңиз, сиз ээрчиген документтеги жолду эмес. Экөө айырмаланса, сертификатка тийбей эле маселени таптыңыз.
Эгер жаңы сертификаттын дареги башка болсо жана процесс эскисин сактап калса, эми сизде табышмак эмес, түшүндүрмө бар. Мүмкүн болсо аны кайра иштетиңиз жана дарек өзгөрүүсүн кокустан эмес, пландалган тармак өзгөрүүсү катары караңыз.
Дарек өзгөрүүсү — тармак өзгөрүүсү
Машинаны жылдырууну пландагандай пландаңыз. Башка хосттор эски даректи конфигурациясында бекитип койгон болушу мүмкүн, кызматтар ага ачык байланышы мүмкүн, файрвол эрежелери ага каршы жазылган болушу мүмкүн. Сертификатты өзгөртүү хостту жылдырат, ал эми хостту жылдыруу башка жердеги божомолдорду жараксыз кылат.
Муну жасап жатканда экинчи башкаруу жолун ачык кармаңыз, анткени сиз үзгүлтүккө учуратып жаткан нерсе так overlay байланышы болушу мүмкүн. Бузула турган туннелдин үстүнөн жасао — беш мүнөттүк өзгөрүүнү жерге барууга айландыруунун классикалык жолу.
Кайра иштетүүнүн кабыл алынышы хост эмне кылып жатканына байланыштуу жана бул техникалык эмес, пландоо маселеси. Милдеттүү эмес нерсе — кайра жүктөөнү бешинчи жолу жөнөтүүнүн ордуна кайра иштетүү талабын моюнга алуу.
Эски эсептик маалыматты өзүнчө чыгарыңыз
Бир машинага алмаштырма орнотуу ар бир тең өзү билген эсептик маалыматка дагы эле ишенерин калтырат. Эгер өзгөрүүнүн себеби бузуу болсо, эски инсандык ишеним же блок-тизме жол-жобосу менен чыгарылышы керек, ошондо теңдер аны чындап четке кагышат.
Бул өзүнүн текшерүүсү бар өзүнчө кадам: жаңы файл ишти аткарды деп ойлоонун ордуна, башка хосттон эски инсандык эми иштебей турганын ырастаңыз. Nebula PKI конфигурация документтери кайра жүктөлүүчү параметрлерди жана ушул жерде сүрөттөлгөн дарек чектөөсүн камтыйт, жана өндүрүштөгү кандайдыр бир нерсени ротациялоодон мурун аны толук окууга татыктуу.