Nebula reikia trijų failų: CA, prieglobos sertifikato ir prieglobos rakto

Jei kam nors duosite Nebula katalogą, jis paprastai nusikopijuos viską, įskaitant failą, kuris niekada neturėtų iškeliauti iš jūsų darbo stoties. Sumišimas suprantamas, nes trys prieglobos PKI bloko failai atrodo panašiai ir du iš jų yra sertifikatai. Kiekvienas atsako į kitą klausimą, ir tik du priklauso mazgui. Prieš ką nors kopijuodami, surūšiuokite juos pagal vaidmenį.

Trys failai, trys skirtingos užduotys

CA sertifikatas yra pasitikėjimo atrama: jis pasako prieglobai, kuriomis institucijomis tikėti, kai kita priegloba pateikia savo tapatybę. Prieglobos sertifikatas yra paties mazgo įgaliojimas, pasirašytas tos institucijos. Prieglobos raktas yra atitinkama privati pusė, ir jis priklauso tiksliai vienai mašinai. Mazgas, turintis CA sertifikatą ir savo porą, gali prisijungti prie overlay ir įrodyti, kas jis yra. Mazgas su kito žmogaus raktu taip pat gali apsimesti tuo žmogumi, ir būtent šios klaidos ši schema skirta išvengti.

Todėl veikiančio prieglobos katalogo kopijavimas į antrą mašiną nėra trumpesnis kelias. Tai dviguba tapatybė su nuspėjamu rezultatu.

Pasirašymo raktas niekada nekeliauja

CA pasirašymo raktas nėra jokios prieglobos konfigūracijos dalis. Jis kuria naujas tapatybes, ir kas jį turi, gali išduoti sertifikatą bet kuriam overlay adresui ir bet kuriai grupei. Partneriams parašams tikrinti reikia tik viešo CA sertifikato, todėl privati pusė kliente neturi jokio vaidmens. Laikykite jį mašinoje, kurioje išduodami sertifikatai, ir atsitiktinę kopiją traktuokite kaip incidentą, o ne kaip patogumą.

Jei sertifikatus turi išduoti keli žmonės, duokite jiems procesą, o ne rakto kopiją. Bendrai naudojamas pasirašymo raktas nešiojamajame kompiuteryje yra valdžia, kurios niekas negali audituoti ar atšaukti.

Kas yra prieglobos sertifikato viduje

Prieglobos sertifikatas su raktu sieja daugiau nei failo pavadinimą. Jis neša mazgo overlay adresą, jo vardą ir narystę grupėje, visa tai pasirašyta, kad partneris galėtų nuspręsti, ar jį priimti. Todėl prieglobos pervadinimas reiškia naujo sertifikato išdavimą, o ne konfigūracijos eilutės redagavimą.

nebula-cert print -path host.crt rodo, kas iš tikrųjų buvo išduota. Perskaitykite jį prieš manydami, kad sertifikate yra numatytas adresas.

Perkrovimo ne visada pakanka

Kai kurie PKI nustatymai perkraunami pagal signalą, o kai kurie ne. Sertifikatas, kurio overlay adresas pasikeitė yra klasikinis atvejis, reikalaujantis proceso paleidimo iš naujo, o ne perkrovimo.

Patikrinkite, kuriuos kelius vykstantis procesas iš tikrųjų atidarė, o ne tik kuriuos kelius nurodo konfigūracijos failas. Tada pakeiskite vieną įgaliojimą, patikrinkite ryšį ir žurnalus, ir tik po to imkitės kito. Perkrovimas, kuris atrodo sėkmingas, kai senas sertifikatas lieka atmintyje, sukuria neatitikimą, kuris atrodo kaip maršrutizavimo problema. Paleisti iš naujo pigu; derinti tapatybę, kurią pusė overlay vis dar mato senai, ne pigu.

Tapatybei pašalinti reikia blokavimo sąrašo

Pamesto ar atskleisto įgaliojimo pakeitimas turi dvi puses. Naujas sertifikatas atkuria prieigą, o sena tapatybė turi nustoti būti priimama. Tai atskiros operacijos, ir atlikus tik pirmąją kompromituotas įgaliojimas lieka galiojantis.

Blokavimo sąrašas yra failas, kurį platinote priegloboms, o ne tai, ką lighthouse siunčia pats. Suplanuokite, kaip jis pasieks kiekvieną mazgą, įskaitant tuos, kurie šiandien neprisijungę, ir užsirašykite, kuriuos pirštų atspaudus užblokavote. Pakeiskite raktą išduodančioje mašinoje ir naujo sertifikato duomenis laikykite kartu su prieglobos įrašu. Atšaukimas, egzistuojantis tik mašinoje, kurią redagavote, nėra atšaukimas.