Nebula үч файлды талап кылат: CA, хост сертификаты жана хост ачкычы

Бирөөгө Nebula папкасын берсеңиз, ал адатта баарын көчүрөт, иш станцияңыздан эч качан чыкпоого тийиш болгон файлды да кошуп. Түшүнбөстүк түшүнүктүү, анткени хосттун PKI блогундагы үч файл бири-бирине окшош жана алардын экөө сертификат. Ар бири башка суроого жооп берет жана алардын экөө гана түйүнгө таандык. Бир нерсени көчүрүүдөн мурун аларды ролу боюнча бөлүңүз.

Үч файл, үч башка иш

CA сертификаты — ишенимдин тиреги: ал башка хост өз инсандыгын көрсөткөндө кайсы органдарга ишенүү керектигин хостко айтат. Хост сертификаты — түйүндүн өз күбөлүгү, ага ошол орган кол коёт. Хост ачкычы — анын тиешелүү жеке жарымы жана так бир машинага таандык. CA сертификаты жана өз жубу бар түйүн overlayге кошулуп, ким экенин далилдей алат. Башка бирөөнүн ачкычы бар түйүн да өзүн ошол адам катары көрсөтө алат, жана бул схема ушул катаны болтурбоо үчүн бар.

Ошондуктан иштеп жаткан хост папкасын экинчи машинага көчүрүү кыска жол эмес. Бул натыйжасы алдын ала белгилүү кайталанган инсандык.

Кол коюу ачкычы эч качан сапар тартпайт

CA кол коюу ачкычы эч бир хост конфигурациясынын бөлүгү эмес. Ал жаңы инсандыктарды жаратат жана аны кармаган адам каалаган overlay дареги жана каалаган топ үчүн сертификат чыгара алат. Түштүктөргө кол тамгаларды текшерүү үчүн жарыя CA сертификаты гана керек, ошондуктан жеке жарымдын кардарда эч кандай ролу жок. Аны сертификаттар чыгарылган машинада сактаңыз жана кокустан жасалган көчүрмөнү ыңгайлуулук эмес, окуя катары кабыл алыңыз.

Эгер сертификаттарды бир нече адам чыгарышы керек болсо, аларга ачкычтын көчүрмөсүн эмес, процессти бериңиз. Ноутбуктагы жалпы кол коюу ачкычы — эч ким текшере да, жокко чыгара да албаган бийлик.

Хост сертификатынын ичинде эмне бар

Хост сертификаты ачкычка файлдын атынан көбүрөөк нерсени байланыштырат. Ал түйүндүн overlay дарегин, атын жана топтук мүчөлүгүн алып жүрөт, баарына кол коюлган, ошондуктан түштүк аны кабыл алабы же жокпу чече алат. Ошондуктан хосттун атын өзгөртүү конфигурация сабын оңдоо эмес, жаңы сертификат чыгаруу дегенди билдирет.

nebula-cert print -path host.crt чындыгында эмне чыгарылганын көрсөтөт. Сертификатта сиз ойлогон дарек бар деп болжолдон мурун аны окуңуз.

Кайра жүктөө ар дайым жетиштүү эмес

Айрым PKI жөндөөлөрү сигнал боюнча кайра жүктөлөт, айрымдары жүктөлбөйт. Overlay дареги өзгөргөн сертификат кайра жүктөөнүн ордуна процессти кайра баштоону талап кылган классикалык учур.

Иштеп жаткан процесс чындыгында кайсы жолдорду ачканын текшериңиз, конфигурация файлы атаган жолдорду гана эмес. Андан кийин бир күбөлүктү алмаштырыңыз, байланыш менен журналдарды текшериңиз, анан гана кийинкисине өтүңүз. Эски сертификат эстутумда калганда ийгиликтүү көрүнгөн кайра жүктөө маршруттоо көйгөйүнө окшош дал келбестик жаратат. Кайра баштоо арзан; overlayдин жарымы али эскиче көргөн инсандыкты оңдоо арзан эмес.

Инсандыкты алып салуу блок тизмесин талап кылат

Жоголгон же ачылган күбөлүктү алмаштыруунун эки жарымы бар. Жаңы сертификат кирүүнү калыбына келтирет, ал эми эски инсандык кабыл алынууну токтотушу керек. Бул өзүнчө операциялар жана биринчисин гана аткаруу бузулган күбөлүктү жарактуу калтырат.

Блок тизмеси — сиз хостторго тарата турган файл, lighthouse өзү жөнөтө турган нерсе эмес. Анын ар бир түйүнгө кантип жетерин пландаңыз, бүгүн тармакта жокторун да кошуп, жана кайсы манжа изин блоктогонуңузду жазып коюңуз. Чыгарган машинада ачкычты айландырыңыз жана жаңы сертификаттын маалыматын хост жазуусу менен бирге сактаңыз. Сиз оңдогон машинада гана бар жокко чыгаруу — жокко чыгаруу эмес.