D’Nebula-Zertifikat nei lueden huet d’IP net geännert: dofir

Dir stellt en neit Host-Zertifikat mat enger anerer Overlay-Adress aus, kopéiert et iwwer déi al Datei, schéckt den Nei-Lueden, an den Host äntwert weider op der Adress, déi en virdru hat. De Reflex ass unzehuelen, datt den Nei-Lueden net fonctionnéiert huet oder déi falsch Datei gelies gouf. Meeschtens ass weder dat nach dat geschitt: de lafende Prozess huet bewosst d’Identitéit behal, déi en schonn hat, well den Ersatz eppes geännert huet, wat en Nei-Luede net ka passéieren.

D’Unterstëtzung vum Nei-Luede vum PKI an Nebula ass mat där Grenz dokumentéiert, an et ass einfach se z’iwwersinn, wann déi selwecht Dokumentatioun weist, datt Nei-Lueden fir aner Ännerunge funktionéiert.

Wat en Nei-Lueden tatsächlech nei liest

En Host-Zertifikat ass net just en Zugangsdokument wéi et en SSH-Schlëssel ass. Et dréit d’Overlay-Adress, den Hostnumm, d’Gruppememberschaften an eng Validitéitsfënster, an dat alles ass duerch d’Ënnerschrëft vun der CA verbonnen. Den Daemon benotzt dee ënnerschriwwene Contenu, fir ze decidéieren, wéi en sech presentéiert a wéi eng Reegelen op en uwendbar sinn.

En Nei-Lueden erlaabt dem Prozess, erneiert Umeldungsdaten opzehuelen, ouni seng Tunnelen ze verléieren, wat wäertvoll ass fir routineméisseg Rotatioun: déiselwecht Adress, deeselwechten Numm, déiselwecht Gruppen, méi spéiden Ofschloss. D’Aschränkung ass, datt d’Identitéit déi selwecht muss bleiwen. Ännert d’Overlay-Adress an de Wee vum Nei-Lueden kann se net passéieren, well d’Adress Deel vun deem ass, zu deem sech déi lafend Instanz schonn engagéiert huet.

Also d’Verhalen, dat Dir gesinn hutt, ass déi dokumentéiert Grenz, déi hir Aarbecht mécht, keen heemleche Fehler. D’Datei um Disk ass nei; d’Identitéit am Späicher ass al; de Prozess huet keen ënnerstëtzte Wee, dee Problem ouni Neistart ze léisen.

Adress, Numm a Gruppen sinn eng Identitéit

Et hëlleft, d’Zertifikat als een eenzegen Datensaz ze gesinn an net als eng Rei Felder, déi een eenzel ka beaarbechten. D’Adress ze verréckelen ass net wéi eng Astellung z’änneren, well d’Adress an den Peer-Konfiguratioune vun aneren Hoste, an de Servicerbindungen an an de Politike stoet, déi géint d’Identitéit geschriwwe goufen.

D’Gruppen verdéngen hir eege Linn, well se eng méi roueg Versioun vun der selwechter Duercherneen verursaachen. En Host, deen seng Adress behält awer d’Gruppen ännert, kann no engem Neistart aner Servicer erreechen, an en Test, deen nëmmen déi al Adress pingt, wäert komplett gesond ausgesinn, während d’Zougrëffsentscheedungen dorënner sech geännert hunn. Prüft een eenzegen, duerch eng Regel ofgedeckte Service, net nëmmen d’Erreechbarkeet. Dat ass den Ënnerscheed tëscht den Tunnel ze bestätegen an d’Politik ze bestätegen.

Vergläicht d’gelueden Zertifikat mat dem Ersatz

Ier Dir unhëlt, den Daemon hätt d’Datei ignoréiert, liest béid. Dréckt d’Zertifikat, dat Dir wëllt lueden, a bestätegt d’Felder, déi Dir mengt geännert ze hunn, a bestätegt dann, datt déi lafend Konfiguratioun op dee Wee weist an net op eng Kopie soss anzwousch.

nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)

D’Prozessargumenter si méi wichteg, wéi d’Leit erwaarden. Eng Eenheet, déi -config /etc/nebula/config.yml weidergëtt, liest den pki.cert-Agank vun där Datei, an en Zertifikat, dat an engem temporäre Verzeechnis installéiert ass, bewierkt näischt. Prüft de Wee an der lafender Kommandozeil, net de Wee an der Dokumentatioun, déi Dir befollegt hutt. Wann déi zwou sech ënnerscheeden, hutt Dir de Problem fonnt, ouni d’Zertifikat iwwerhaapt unzeféieren.

Wann dat neit Zertifikat eng aner Adress huet an de Prozess déi al behal huet, hutt Dir elo eng Erklärung amplaz vun engem Rätsel. Startt en nei, wann dat akzeptabel ass, a behandelt d’Adressännerung als geplangten Netzwierkännerung an net als Zoufall.

Eng Adressännerung ass eng Netzwierkännerung

Plangt et sou, wéi Dir d’Verréckele vun enger Maschinn plange géift. Aner Hosten hunn déi al Adress vläicht an hirer Konfiguratioun festgehal, Servicer ginn se vläicht express u se gebonnen, a Firewall-Reegelen si vläicht géint se geschriwwen. D’Zertifikat z’änneren verréckelt den Host, an den Host ze verréckelen entkräftegt Usnahmen anzwousch anescht.

Halt en zweeten Administratiounswee verfügbar, während Dir dat maacht, well d’Overlay-Verbindung vläicht just déi ass, déi Dir ënnerbriecht. Dat iwwer den Tunnel ze maachen, deen Dir amgaang sidd ze briechen, ass de klassesche Wee, fir eng Ännerung vu fënnef Minutten an e Besuch viru Plaz ze verwandelen.

Ob en Neistart akzeptabel ass, hänkt dovun of, wat den Host mécht, an dat ass eng Plangs- a keng technesch Fro. Wat net optional ass, ass d’Unerkennung vun der Neistartfuerderung amplaz den Nei-Lueden eng fënneft Kéier ze schécken.

Zitt déi al Umeldungsdaten separat zréck

En Ersatz op enger eenzeger Maschinn z’installéieren hëlleft jidder Peer nach ëmmer den Umeldungsdaten ze vertrauen, déi en schonn kennt. Wann de Grond fir d’Ännerung eng Kompromittéierung war, muss d’al Identitéit iwwer de Vertrauens- oder Blocklëschtprozedur zréckgezu ginn, sou datt d’Peeren se wierklech ofleenen.

Dat ass en eegene Schrëtt mat senger eegener Iwwerpréiwung: bestätegt vun engem aneren Host aus, datt déi al Identitéit net méi funktionéiert, amplaz unzehuelen, déi nei Datei hätt d’Aarbecht gemaach. D’Nebula-Dokumentatioun zur PKI-Konfiguratioun deckt déi nei luedbar Astellungen an d’Adressaschränkung, déi hei beschriwwe gëtt, an et lount sech, se ganz ze liesen, ier Dir eppes a Produktioun rotéiert.