Nebula блок-список: распространете го, светилникот нема да го направи тоа

Спроведувањето на блок-списокот е својство на домаќинот што ја врши проверката, а не на сертификатот што се проверува. Машина што никогаш не го вчитала записот продолжува да го прифаќа идентитетот, и ништо во ракувањето не ве предупредува дека двајца партнери не се согласуваат. Евтиното и скапото решение за истата изложена акредитација се разликуваат по опфат и по можност за враќање, затоа изберете свесно. Следните секции опишуваат што прави записот, каде треба да се достави, кога ротацијата е подобар одговор и како да се докаже дека едното од двете работело.

Што всушност прави записот на блок-списокот

PKI конфигурацијата ги наведува отпечатоците што домаќинот мора да ги одбие дури и кога сертификатот е валидно потпишан и не е истечен. Спроведувањето се случува локално, против списокот што домаќинот го вчитал кога услугата стартувала. Ништо од записот не патува внатре во сертификатот, па партнерот не може да ја научи одлуката од акредитацијата што му се покажува. Затоа светилникот тука нема никаква улога: светилниците им помагаат на партнерите да се најдат еден со друг и да го пренесат сообраќајот каде што директната патека не успева. Тие се слој за откривање и пренесување, а не канал за дистрибуција на конфигурација.

Ажурирањето на една машина ги менува одлуките на таа машина и го остава секој друг партнер точно како што бил. Партнерот што и верува на потписната власт и никогаш не го видел записот нема причина ништо да одбие. Затоа тестирањето на отповикувањето со набљудување на светилникот не докажува ништо, бидејќи од компонентата што ја набљудувате никогаш не било побарано да го спроведе списокот.

Идентификувајте го сертификатот, а не уредот

Користете го отпечатокот на акредитацијата што имате намера да ја одбиете, бидејќи името на домаќинот, ознаката на уредот или тековната адреса идентификуваат машина денес, а нешто друго следниот месец. Ниту една од тие низи не се појавува во блок-списокот и ниту една не го преживува повторното инсталирање. Испечатете го сертификатот, прочитајте го отпечатокот и проверете дали им припаѓа на акредитацијата што се повлекува, а не на нејзината замена. Читањето на двете датотеки е важно кога замената е веќе издадена, зашто стариот и новиот сертификат можат да делат име и да се разликуваат во секое друго поле.

Забележете кој отпечаток е блокиран и кога, за да може подоцнежната ревизија да разликува завршена промена од наменета. Забележете и што записот не прави: не ја поништува потписната власт и не спречува прифаќање на иден сертификат од таа власт. Блокирањето на сертификат на домаќин и замената на компромитирана власт се различни операции со различни последици.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Распространете го како секоја друга конфигурација

Третирајте го списокот како конфигурација со механизам за доставување, а не како датотека што некој ја уредува кога ќе се сети. Испратете го целиот список наместо делта, за да се усогласи домаќин што пропуштил претходно ажурирање наместо да собира празнини. Документацијата за Nebula PKI препорачува токму тоа, и вреди советот да се следи буквално наместо да се преформулира во рачен процес.

Потврдете дека услугата што работи го вчитала содржината повторно, а не само дека датотеката на дискот се променила. Следете кои машини ја примениле промената и држете го преостанатиот список видлив додека не се испразни. Преносен сметач затворен една недела е партнер што никогаш не ја научил одлуката и може повторно да се поврзе од мрежа што никој не ја очекувал. Забележете го методот на доставување веднаш до отпечатокот, зашто следното отповикување повторно ќе го користи, а при првото процесот се разработува.

Блок-список или ротација на власта

Записот на блок-списокот е тесен: еден идентитет престанува да работи, а сето друго продолжува. Ротацијата на потписната власт е широка: секој издаден сертификат станува недоверлив и секој домаќин бара нова акредитација и нов корен на доверба. Првото е насочено отповикување, второто е миграција, затоа бараат различни одобрувања и различни прозорци за одржување. Табелата ги става двете едно до друго по опфат, напор и можност за враќање.

Изгубен преносен сметач бара блок-список, зашто радиусот на штетата е еден идентитет и промената е повратна ако сте блокирале погрешен отпечаток. Протечен клуч на власта бара ротација, зашто блок-списокот не може да помогне со сертификати што уште не се издадени. Помеѓу тие крајности, прашајте дали изложената акредитација можела да потпише нешто друго, бидејќи власта е повеќе од еден домаќин.

Запишете ја одлуката пред инцидент, зашто изборот под притисок обично го дава широкиот избор како стандарден. Кој и пат да го изберете, преостанатата работна ставка е иста: докажете дека спроведувањето се случило на домаќините што се важни. Запишувањето на отпечатокот и датумот во тој момент е она што го овозможува доказот подоцна.

Проверете го одбивањето и остатокот

Поврзете се од блокираниот идентитет и потврдете го неуспехот, потоа поврзете се од овластен партнер и потврдете дека тој уште стигнува до она што му треба. Промена што ги крши сите не е успешно отповикување. Направете го и едното и другото од нови сесии, зашто кешираната состојба може да го скрие резултатот.

Проверете дали воспоставената сесија завршува по промената, и забележете го однесувањето за вашата верзија и конфигурација наместо да претпоставите дека уредувањето датотека нешто прекинува. Опцијата disconnect_invalid ги опфаќа клиентите чии сертификати се истечени или невалидни, затоа потврдете како се применува на вашиот случај пред да се потпрете на неа. Ако моменталното прекинување е услов, тестирајте го посебно и забележете што забележавте. Потоа повторете го тестот по рестартирање, зашто домаќинот што го спроведува списокот само до следното рестартирање има проблем со доставувањето што првиот тест го скрил. Здрав светилник ви кажува дека откривањето работи, а не дека некој партнер применил политика.