Nebula sertifikāta pārlāde IP nemainīja: lūk, kāpēc
Pārlāde atkārtoti nolasa resursdatora akreditācijas datus tikai tad, ja overlay adrese paliek tā pati. Adreses maiņa nozīmē restartu un tīkla izmaiņas, nevis atkārtotu mēģinājumu.
Jūs izsniedzat jaunu resursdatora sertifikātu ar citu overlay adresi, kopējat to virs vecās datnes, nosūtāt pārlādi, un resursdators turpina atbildēt uz adresi, kas tam bija iepriekš. Reflekss ir pieņemt, ka pārlāde neizdevās vai tika nolasīta nepareizā datne. Parasti nenotika ne viens, ne otrs: darbojošais process apzināti saglabāja identitāti, kas tam jau bija, jo aizvietotājs mainīja kaut ko tādu, ko pārlāde nevar piemērot.
Nebula PKI pārlādes atbalsts ir dokumentēts tieši ar šo robežu, un to ir viegli palaist garām, ja tā pati dokumentācija rāda, ka pārlāde darbojas citām izmaiņām.
Ko pārlāde faktiski nolasa atkārtoti
Resursdatora sertifikāts nav vienkārši akreditācijas dati tā, kā ir SSH atslēga. Tas satur overlay adresi, resursdatora nosaukumu, dalību grupās un derīguma logu, un tas viss ir saistīts ar CA parakstu. Dēmons izmanto šo parakstīto saturu, lai izlemtu, kā sevi prezentēt un kādi noteikumi uz to attiecas.
Pārlāde ļauj procesam pārņemt atjaunotus akreditācijas datus, nezaudējot savus tuneļus, kas ir vērtīgi regulārai rotācijai: tā pati adrese, tas pats nosaukums, tās pašas grupas, vēlāks derīguma termiņš. Ierobežojums ir tāds, ka identitātei jāpaliek tai pašai. Nomainiet overlay adresi, un pārlādes ceļš to nevarēs piemērot, jo adrese ir daļa no tā, kam darbojošā instance jau ir apņēmusies.
Tātad novērotā uzvedība ir dokumentētā robeža, kas dara savu darbu, nevis klusa kļūda. Datne diskā ir jauna; identitāte atmiņā ir veca; procesam nav atbalstīta veida, kā bez restarta saskaņot šo atšķirību.
Adrese, nosaukums un grupas ir viena identitāte
Palīdz domāt par sertifikātu kā par vienu ierakstu, nevis lauku kopumu, ko var rediģēt atsevišķi. Adreses pārvietošana nav kā iestatījuma maiņa, jo adrese parādās citu resursdatoru vienaudžu konfigurācijās, pakalpojumu piesaistēs un politikās, kas rakstītas pret identitāti.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Grupas pelna savu rindu, jo tās izraisa klusāku tās pašas apjukuma versiju. Resursdators, kas saglabā adresi, bet maina grupas, pēc restarta var sasniegt citus pakalpojumus, un tests, kas tikai pingē veco adresi, izskatīsies pilnīgi vesels, kamēr piekļuves lēmumi zem tā ir mainījušies. Pārbaudiet vienu ar noteikumu saistītu pakalpojumu, ne tikai sasniedzamību. Tā ir atšķirība starp tuneļa apstiprināšanu un politikas apstiprināšanu.
Salīdziniet ielādēto sertifikātu ar aizvietotāju
Pirms pieņemat, ka dēmons ignorēja datni, izlasiet abus. Izdrukājiet sertifikātu, ko gatavojaties ielādēt, un apstipriniet laukus, kurus, jūsuprāt, mainījāt, pēc tam apstipriniet, ka darbojošā konfigurācija norāda uz šo ceļu, nevis uz kopiju citur.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Procesa argumenti ir svarīgāki, nekā cilvēki gaida. Vienība, kas nodod -config /etc/nebula/config.yml, nolasa tās datnes pki.cert ierakstu, un pagaidu mapē instalēts sertifikāts neko neietekmē. Pārbaudiet ceļu darbojošajā komandrindā, nevis ceļu dokumentācijā, kurai sekojāt. Ja abi atšķiras, jūs esat atraduši problēmu, pat nepieskaroties sertifikātam.
Ja jaunajam sertifikātam ir cita adrese un process saglabāja veco, tagad jums ir skaidrojums, nevis mīkla. Restartējiet to, ja tas ir pieņemami, un uztveriet adreses maiņu kā plānotas tīkla izmaiņas, nevis nejaušu.
Adreses maiņa ir tīkla izmaiņas
Plānojiet to tā, kā plānotu mašīnas pārvietošanu. Citi resursdatori var būt piefiksējuši veco adresi savā konfigurācijā, pakalpojumi var būt tieši piesaistīti tai, un ugunsmūra noteikumi var būt rakstīti pret to. Sertifikāta maiņa pārvieto resursdatoru, un resursdatora pārvietošana atceļ pieņēmumus citur.
Veicot to, turiet pieejamu otru pārvaldības ceļu, jo overlay savienojums var būt tieši tas, kuru jūs pārtraucat. To darīt pa tuneli, kuru grasāties salauzt, ir klasisks veids, kā piecu minūšu izmaiņas pārvērst apmeklējumā uz vietas.
Vai restarts ir pieņemams, ir atkarīgs no tā, ko dara resursdators, un tas ir plānošanas, nevis tehnisks jautājums. Kas nav izvēles, ir atzīt restarta nepieciešamību, nevis piekto reizi sūtīt pārlādi.
Atsauciet vecos akreditācijas datus atsevišķi
Aizvietotāja instalēšana vienā mašīnā ļauj katram vienaudzim joprojām uzticēties akreditācijas datiem, kurus tas jau zina. Ja izmaiņu iemesls bija kompromitēšana, vecā identitāte ir jāatsauc ar uzticēšanās vai blokēšanas saraksta procedūru, lai vienaudži to tiešām noraidītu.
Tas ir atsevišķs solis ar savu pārbaudi: apstipriniet no cita resursdatora, ka vecā identitāte vairs nedarbojas, nevis pieņemiet, ka jaunā datne paveica darbu. Nebula PKI konfigurācijas dokumentācija aptver pārlādējamos iestatījumus un šeit aprakstīto adreses ierobežojumu, un to ir vērts izlasīt pilnībā pirms jebko ražošanā rotēt.