Nebula nepieciešami trīs faili: CA, resursdatora sertifikāts un resursdatora atslēga

Ja kādam iedodat Nebula mapi, viņš parasti nokopē visu, tostarp failu, kuram nekad nevajadzētu atstāt jūsu darbstaciju. Apjukums ir saprotams, jo trīs faili resursdatora PKI blokā izskatās līdzīgi un divi no tiem ir sertifikāti. Katrs atbild uz citu jautājumu, un tikai divi pieder mezglam. Pirms kaut ko kopējat, sakārtojiet tos pēc lomas.

Trīs faili, trīs dažādi uzdevumi

CA sertifikāts ir uzticēšanās enkurs: tas resursdatoram pasaka, kurām iestādēm ticēt, kad cits resursdators uzrāda savu identitāti. Resursdatora sertifikāts ir paša mezgla pilnvara, ko parakstījusi šī iestāde. Resursdatora atslēga ir atbilstošā privātā puse, un tā pieder tieši vienai mašīnai. Mezgls ar CA sertifikātu un savu pāri var pievienoties overlay un pierādīt, kas tas ir. Mezgls ar cita cilvēka atslēgu arī var uzdoties par šo cilvēku, un tieši šo kļūdu šī shēma ir paredzēta novērst.

Tāpēc strādājošas resursdatora mapes kopēšana uz otru mašīnu nav īsceļš. Tā ir dublēta identitāte ar paredzamu iznākumu.

Parakstīšanas atslēga nekad neceļo

CA parakstīšanas atslēga nav nevienas resursdatora konfigurācijas daļa. Tā rada jaunas identitātes, un tas, kuram tā ir, var izsniegt sertifikātu jebkurai overlay adresei un jebkurai grupai. Vienaudžiem parakstu pārbaudei vajadzīgs tikai publiskais CA sertifikāts, tāpēc privātajai pusei klientā vispār nav nekādas lomas. Glabājiet to mašīnā, kur izsniedz sertifikātus, un nejaušu kopiju uzskatiet par incidentu, nevis ērtību.

Ja sertifikātus jāizsniedz vairākiem cilvēkiem, dodiet viņiem procesu, nevis atslēgas kopiju. Koplietota parakstīšanas atslēga klēpjdatorā ir vara, ko neviens nevar auditēt vai atcelt.

Kas ir resursdatora sertifikāta iekšienē

Resursdatora sertifikāts ar atslēgu saista vairāk nekā faila nosaukumu. Tas nes mezgla overlay adresi, tā nosaukumu un dalību grupā, viss parakstīts, lai vienaudzis varētu izlemt, vai to pieņemt. Tāpēc resursdatora pārdēvēšana nozīmē jauna sertifikāta izsniegšanu, nevis konfigurācijas rindas labošanu.

nebula-cert print -path host.crt parāda, kas patiešām tika izsniegts. Izlasiet to, pirms pieņemat, ka sertifikātā ir paredzētā adrese.

Pārlāde ne vienmēr ir pietiekama

Daži PKI iestatījumi pārlādējas pēc signāla, bet daži ne. Sertifikāts, kura overlay adrese ir mainījusies ir klasiskais gadījums, kas prasa procesa restartu, nevis pārlādi.

Pārbaudiet, kurus ceļus darbojošais process faktiski atvēra, nevis tikai tos, kurus nosauc konfigurācijas fails. Pēc tam nomainiet vienu pilnvaru, pārbaudiet savienojumu un žurnālus, un tikai tad ķerieties pie nākamās. Pārlāde, kas izskatās veiksmīga, kamēr vecais sertifikāts paliek atmiņā, rada neatbilstību, kas izskatās kā maršrutēšanas problēma. Restarts ir lēts; atkļūdot identitāti, ko puse overlay joprojām redz vecajā veidā, nav lēti.

Identitātes noņemšanai vajadzīgs bloķēšanas saraksts

Pazaudētas vai atklātas pilnvaras aizstāšanai ir divas puses. Jaunais sertifikāts atjauno piekļuvi, un vecajai identitātei jāpārstāj tikt pieņemtai. Tie ir atsevišķi darījumi, un tikai pirmā veikšana atstāj kompromitēto pilnvaru derīgu.

Bloķēšanas saraksts ir fails, ko izplatāt resursdatoriem, nevis kaut kas, ko lighthouse nosūta pats. Izplānojiet, kā tas nonāks pie katra mezgla, tostarp tiem, kas šodien ir bezsaistē, un pierakstiet, kādus pirkstu nospiedumus bloķējāt. Mainiet atslēgu izsniedzējā mašīnā un jaunā sertifikāta datus glabājiet kopā ar resursdatora ierakstu. Atsaukšana, kas pastāv tikai mašīnā, kuru rediģējāt, nav atsaukšana.