Nebula brauch dräi Dateien: CA, Hostzertifikat, Hostschlëssel

Wann Dir engem en Nebula-Verzeechnis gitt, kopéiert en normalerweis alles, och d'Datei déi ni vun Ärer Aarbechtsplaz soll fortgoen. D'Verwirrung ass verständlech, well déi dräi Dateien am PKI-Block vun engem Host sech gläichen an zwee dovun Zertifikater sinn. Jiddwereen äntwert op eng aner Fro, an nëmmen zwee gehéieren op den Node. Sortéiert se no Roll, ier Dir eppes kopéiert.

Dräi Dateien, dräi verschidden Aufgaben

Den CA-Zertifikat ass en Vertrauensanker: en seet engem Host, wéi eng Autoritéiten ze glawen, wann en aneren Host seng Identitéit presentéiert. Den Hostzertifikat ass dem Node säi eegene Legitimatioun, vun där Autoritéit ënnerschriwwen. Den Hostschlëssel ass déi passend privat Hallschent, an en gehéiert zu genee enger Maschinn. En Node mam CA-Zertifikat a sengem eegene Paar kann dem Overlay bäitrieden a beweisen wien en ass. En Node mam Schlëssel vun engem aneren kann sech och als dee jëmmand ausginn, an dat ass de Feeler, dee wëll dës Opstellung verhënnere.

En funktionéierend Hostverzeechnis op eng zweet Maschinn ze kopéieren ass dowéinst keng Ofkierzung. Et ass eng duebel Identitéit mat virsiichtbarem Resultat.

De Signaturschlëssel reest ni

De CA-Signaturschlëssel ass Deel vun kenger Hostkonfiguratioun. En prägt nei Identitéiten, a wien en huet, kann en Zertifikat fir all Overlay-Adress an all Grupp ausstellen. Peers brauchen nëmmen den ëffentlechen CA-Zertifikat fir d'Signaturen ze kontrolléieren, dofir huet déi privat Hallschent op engem Client guer keng Roll. Halt en op der Maschinn, wou Zertifikater ausgestallt ginn, a behandelt eng zoufälleg Kopie als Tëschefall, net als Bequemlechkeet.

Wann ech verschidde Leit Zertifikater musse ausstellen, gitt hinnen e Prozess amplaz enger Kopie vum Schlëssel. En gedeelte Signaturschlëssel op engem Laptop ass eng Autoritéit, déi kee ka préiwen oder widerrufen.

Wat ass an engem Hostzertifikat

En Hostzertifikat bënnt méi wéi en Dateinumm u e Schlëssel. En dréit d'Overlay-Adress vum Node, säin Numm a seng Gruppememberschaft, alles ënnerschriwwen, fir dass e Peer ka entscheeden, ob en et akzeptéiert. Dofir heescht en Host ëmbenennen en neien Zertifikat ausstellen, an net eng Konfiguratiounszeil änneren.

nebula-cert print -path host.crt weist, wat tatsächlech ausgestallt gouf. Liest en, ier Dir unhëlt, dass den Zertifikat déi Adress dréit, déi Dir gemengt hutt.

Nei lueden ass net ëmmer genuch

E puer PKI-Astellungen lueden op engem Signal nei, anerer net. En Zertifikat, deem seng Overlay-Adress sech geännert huet ass de klassesche Fall, dee en Neistart vum Prozess brauch amplaz en Nei-Lueden.

Bestëmmt, wéi eng Weeër de lafende Prozess tatsächlech opgemaach huet, net nëmmen déi Weeër, déi d'Konfiguratiounsdatei nennt. Ännert duerno eng Legitimatioun, préift d'Verbindung an d'Logbicher, an duerno réiert déi nächst. En Nei-Lueden, dat erfollegräich ausgesäit, während den ale Zertifikat am Späicher bleift, produzéiert eng Onstëmmegkeet, déi wéi e Routingproblem ausgesäit. Neistarten ass bëlleg; d'Debuggéiere vun enger Identitéit, déi d'Halschent vum Overlay nach ëmmer ale Manéier gesäit, ass et net.

Eng Identitéit ewechhuelen erfuerdert eng Spärlëscht

D'Ersetze vun enger verluerschter oder opgedeckter Legitimatioun huet zwou Halschenten. Den neien Zertifikat stellt den Zougang erëm hier, an déi al Identitéit muss ophalen, akzeptéiert ze ginn. Dat sinn getrennt Operatiounen, an nëmmen déi éischt ze maachen léisst déi kompromittéiert Legitimatioun valabel.

D'Spärlëscht ass eng Datei, déi Dir un d'Hoste verdeelt, net eppes, wat e lighthouse vu sech aus schéckt. Plangt, wéi se all Node erreecht, och déi, déi haut offline sinn, a schreift op, wéi eng Fangerofdréck Dir gespaart hutt. Rotéiert de Schlëssel op der Ausstellungsmaschinn a behält d'Detailer vum neien Zertifikat beim Hostrecord. Eng Widderruffung, déi nëmmen op der Maschinn existéiert, déi Dir geännert hutt, ass keng Widderruffung.