Nebula bloķēšanas saraksts: izplatiet to, bāka to nedarīs

Bloķēšanas saraksta izpilde ir pārbaudi veicošā resursdatora īpašība, nevis pārbaudāmā sertifikāta īpašība. Mašīna, kas ierakstu nekad nav ielādējusi, turpina pieņemt identitāti, un nekas rokasspiedienā nebrīdina, ka divi partneri nav vienisprātis. Lētais un dārgais risinājums vienai atklātai akreditācijas datu kopai atšķiras ar tvērumu un atgriezeniskumu, tāpēc izvēlieties apzināti. Turpmākās sadaļas aplūko, ko ieraksts dara, kur tas jāpiegādā, kad rotācija ir labāka atbilde un kā pierādīt, ka viens no abiem ir nostrādājis.

Ko bloķēšanas saraksta ieraksts patiešām dara

PKI konfigurācija uzskaita pirkstu nospiedumus, kas resursdatoram jānoraida pat tad, ja sertifikāts ir derīgi parakstīts un nav beidzies. Izpilde notiek lokāli, pret sarakstu, ko šis resursdators ielādēja, kad pakalpojums startēja. Nekas par ierakstu neceļo sertifikāta iekšienē, tāpēc partneris nevar uzzināt lēmumu no viņam parādītās akreditācijas datu kopas. Tāpēc bāka šeit nespēlē nekādu lomu: bākas palīdz partneriem atrast viens otru un pārsūtīt datplūsmu tur, kur tiešais ceļš neizdodas. Tās ir atklāšanas un pārsūtīšanas slānis, nevis konfigurācijas izplatīšanas kanāls.

Vienas mašīnas atjaunināšana maina šīs mašīnas lēmumus un atstāj katru citu partneri tieši tādu, kāds tas bija. Partnerim, kas uzticas parakstītājai iestādei un nekad nav redzējis ierakstu, nav pamata kaut ko noraidīt. Tāpēc atsaukšanas testēšana, vērojot bāku, neko nepierāda, jo komponentam, kuru jūs vērojat, nekad nav prasīts izpildīt sarakstu.

Identificējiet sertifikātu, nevis ierīci

Izmantojiet tās akreditācijas datu kopas pirkstu nospiedumu, kuru gatavojaties noraidīt, jo resursdatora nosaukums, ierīces etiķete vai pašreizējā adrese šodien identificē mašīnu, bet nākamajā mēnesī ko citu. Neviens no šiem virkņu paraugiem neparādās bloķēšanas sarakstā, un neviens no tiem neiztur pārinstalēšanu. Izdrukājiet sertifikātu, nolasiet pirkstu nospiedumu un pārbaudiet, vai tas pieder izņemamajai akreditācijas datu kopai, nevis tās aizstājējam. Abu failu lasīšana ir svarīga, ja aizstājējs jau ir izsniegts, jo vecais un jaunais sertifikāts var dalīt nosaukumu un atšķirties visos citos laukos.

Pierakstiet, kurš pirkstu nospiedums un kad tika bloķēts, lai vēlāks audits atšķirtu pabeigtu izmaiņu no paredzētas. Pierakstiet arī to, ko ieraksts nedara: tas neanulē parakstītāju iestādi un neliedz pieņemt šīs iestādes nākotnes sertifikātu. Resursdatora sertifikāta bloķēšana un kompromitētas iestādes aizstāšana ir dažādas darbības ar dažādām sekām.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Izplatiet to kā jebkuru citu konfigurāciju

Uztveriet sarakstu kā konfigurāciju ar piegādes mehānismu, nevis kā failu, ko kāds rediģē, kad atceras. Sūtiet visu sarakstu, nevis delta, lai resursdators, kas palaida garām iepriekšēju atjauninājumu, saplūstu, nevis uzkrātu robus. Nebula PKI dokumentācija iesaka tieši to, un ir vērts padomam sekot burtiski, nevis pārfrāzēt to manuālā procesā.

Apstipriniet, ka darbojošais pakalpojums ir pārlādējis saturu, nevis tikai to, ka disks mainījies. Izsekojiet, kuras mašīnas piemēroja izmaiņu, un turiet atlikušo sarakstu redzamu, līdz tas ir tukšs. Nedēļu aizvērts portatīvais dators ir partneris, kas lēmumu nekad nav apguvis, un tas var atkārtoti pievienoties no tīkla, kuru neviens negaidīja. Pierakstiet piegādes metodi blakus pirkstu nospiedumam, jo nākamā atsaukšana to izmantos vēlreiz, un pirmajā procesu atkļūdo.

Bloķēšanas saraksts vai iestādes rotācija

Bloķēšanas saraksta ieraksts ir šaurs: viena identitāte pārstāj darboties un viss pārējais turpinās. Parakstītājas iestādes rotācija ir plaša: katrs tās izsniegtais sertifikāts kļūst neuzticams, un katram resursdatoram vajag jaunu akreditācijas datu kopu un jaunu uzticības enkuru. Pirmais ir mērķēta atsaukšana, otrais ir migrācija, tāpēc tiem vajadzīgi dažādi apstiprinājumi un dažādi apkopes logi. Tabula liek abus blakus tvēruma, pūļu un atgriezeniskuma ziņā.

Pazudis portatīvais dators prasa bloķēšanas sarakstu, jo kaitējuma rādiuss ir viena identitāte un izmaiņa ir atgriezeniska, ja bloķējāt nepareizo pirkstu nospiedumu. Noplūdis iestādes atslēga prasa rotāciju, jo bloķēšanas saraksts nevar palīdzēt ar sertifikātiem, kas vēl nav izsniegti. Starp šiem galējiem gadījumiem jautājiet, vai atklātā akreditācijas datu kopa varēja parakstīt kaut ko citu, jo iestāde ir vairāk nekā viens resursdators.

Pierakstiet lēmumu pirms incidenta, jo izvēle spiediena apstākļos mēdz pēc noklusējuma dot plašo variantu. Lai kādu ceļu izvēlētos, atlikušais darba elements ir tāds pats: pierādīt, ka izpilde notika svarīgajos resursdatoros. Pirkstu nospieduma un datuma pierakstīšana tajā brīdī ir tas, kas vēlāk padara pierādījumu iespējamu.

Pārbaudiet noraidījumu un atlikušo daļu

Savienojieties no bloķētās identitātes un apstipriniet kļūmi, pēc tam savienojieties no atļauta partnera un apstipriniet, ka tas joprojām sasniedz vajadzīgo. Izmaiņa, kas salauž visiem, nav veiksmīga atsaukšana. Dariet abus no jaunām sesijām, jo kešatmiņā esošais stāvoklis var paslēpt rezultātu.

Pārbaudiet, vai pēc izmaiņas beidzas jau nodibināta sesija, un pierakstiet uzvedību savai versijai un konfigurācijai, nevis pieņemiet, ka faila rediģēšana kaut ko pārtrauc. Opcija disconnect_invalid aptver klientus, kuru sertifikāti ir beigušies vai nederīgi, tāpēc apstipriniet, kā tā attiecas uz jūsu gadījumu, pirms paļaujaties uz to. Ja tūlītēja pārtraukšana ir prasība, pārbaudiet to atsevišķi un pierakstiet novēroto. Pēc tam atkārtojiet testu pēc restartēšanas, jo resursdatoram, kas sarakstu izpilda tikai līdz nākamajai pārstartēšanai, ir piegādes problēma, ko pirmais tests noklusēja. Veselīga bāka pasaka, ka atklāšana darbojas, nevis ka kāds partneris ir piemērojis politiku.