Nebula-ийн блок жагсаалт: түүнийг тараа, гэрэлт цамхаг үүнийг хийхгүй

Блок жагсаалтын хэрэгжилт нь шалгалт хийж буй хостын шинж чанар бөгөөд шалгагдаж буй гэрчилгээний шинж биш. Бичлэгийг хэзээ ч ачаалаагүй машин таних тэмдгийг хүлээн авсаар байх бөгөөд гар барилтад хоёр хамтрагч санал нийлэхгүй байгааг юу ч сануулахгүй. Нэг илэрсэн итгэмжлэлд хямд ба үнэтэй шийдэл нь хамрах хүрээ болон буцаах боломжоор ялгаатай тул санаатайгаар сонгоно уу. Дараах хэсгүүд бичлэг юу хийдэг, хаана хүргэх ёстой, эргүүлэх нь хэзээ илүү сайн хариулт болох, мөн аль нэг нь ажилласныг хэрхэн батлахыг авч үзнэ.

Блок жагсаалтын бичлэг үнэндээ юу хийдэг

PKI тохиргоо нь гэрчилгээ хууль ёсоор гарын үсэг зурсан, хугацаа нь дуусаагүй байсан ч хост татгалзах ёстой хурууны хээг жагсаана. Хэрэгжилт нь үйлчилгээ эхлэх үед хост ачаалсан жагсаалтын эсрэг локалаар явагдана. Бичлэгийн тухай юу ч гэрчилгээний дотор аялахгүй тул хамтрагч өөрт нь үзүүлсэн итгэмжлэлээс шийдвэрийг мэдэж чадахгүй. Тиймээс гэрэлт цамхаг энд ямар ч үүрэг гүйцэтгэхгүй: гэрэлт цамхагууд хамтрагчдад бие биеэ олоход туслах ба шууд зам бүтэлгүйтсэн газарт урсгалыг дамжуулна. Тэд илрүүлэх, дамжуулах давхарга бөгөөд тохиргоо тараах суваг биш.

Нэг машиныг шинэчлэх нь тэр машины шийдвэрийг өөрчилж, бусад хамтрагч бүрийг яг байсан хэвээр нь үлдээнэ. Гарын үсэг зурах байгууллагад итгэдэг бөгөөд бичлэгийг хэзээ ч хараагүй хамтрагчид ямар нэгэн зүйлийг татгалзах шалтгаан байхгүй. Тиймээс гэрэлт цамхагыг харж хүчингүй болгохыг шалгах нь юу ч батлахгүй, учир нь таны ажиглаж буй бүрэлдэхүүн хэсгээс жагсаалтыг хэрэгжүүлэхийг хэзээ ч шаардаагүй.

Гэрчилгээг тань, төхөөрөмжийг биш

Татгалзахыг хүсэж буй итгэмжлэлийн хурууны хээг ашиглана уу, учир нь хостын нэр, төхөөрөмжийн шошго эсвэл одоогийн хаяг нь өнөөдөр машиныг, дараа сард өөр зүйлийг тодорхойлдог. Эдгээр мөрүүдийн аль нь ч блок жагсаалтад харагдахгүй бөгөөд аль нь ч дахин суулгахыг давахгүй. Гэрчилгээг хэвлэж, хурууны хээг уншиж, тэр нь хасагдаж буй итгэмжлэлд хамаарах эсэхийг, түүний орлуулагчид биш гэдгийг шалгана уу. Орлуулагч аль хэдийн олгогдсон бол хоёр файлыг унших нь чухал, учир нь хуучин ба шинэ гэрчилгээ нэрээ хуваалцаж, бусад бүх талбарт ялгаатай байж болно.

Аль хурууны хээ хэзээ блоклогдсоныг бүртгэнэ үү, ингэснээр дараагийн аудит дууссан өөрчлөлтийг төлөвлөснөөс ялгах болно. Бичлэг юу хийдэггүйг ч тэмдэглэ: энэ нь гарын үсэг зурах байгууллагыг хүчингүй болгодоггүй бөгөөд тэр байгууллагын ирээдүйн гэрчилгээг хүлээн авахаас сэргийлдэггүй. Хостын гэрчилгээг блоклох, эвдэрсэн байгууллагыг солих нь өөр өөр үр дагавартай өөр өөр үйлдэл юм.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Бусад тохиргооны адил тараана уу

Жагсаалтыг хэн нэгэн санаж байхдаа засварладаг файл гэж биш, хүргэх механизмтай тохиргоо гэж үзээрэй. Дельта биш бүх жагсаалтыг илгээснэй, ингэснээр өмнөх шинэчлэлтийг алдсан хост цоорхой хураахын оронд нэгдэх болно. Nebula PKI баримт бичиг яг үүнийг зөвлөдөг бөгөөд зөвлөмжийг гараар хийх процесст хувиргахын оронд шууд дагах нь зүйтэй.

Ажиллаж буй үйлчилгээ агуулгыг дахин ачаалсныг батал, зөвхөн диск дээрх файл өөрчлөгдсөнийг биш. Аль машинууд өөрчлөлтийг хэрэглэснийг хянаж, үлдсэн жагсаалтыг хоосрох хүртэл харагдахуйц байлга. Долоо хоног хаалттай зөөврийн компьютер нь шийдвэрийг хэзээ ч сураагүй хамтрагч бөгөөд хэн ч хүлээгээгүй сүлжээнээс дахин холбогдож болно. Хүргэх аргыг хурууны хээний хажууд бүртгэ, учир нь дараагийн хүчингүй болголт үүнийг дахин ашиглах бөгөөд эхнийх дээр л процесс дибаглагдана.

Блок жагсаалт эсвэл байгууллагыг эргүүлэх

Блок жагсаалтын бичлэг нарийн: нэг таних тэмдэг ажиллахаа болих бөгөөд бусад бүхэн үргэлжилнэ. Гарын үсэг зурах байгууллагыг эргүүлэх нь өргөн: түүний олгосон гэрчилгээ бүр итгэмжлэгдэхгүй болж, хост бүрт шинэ итгэмжлэл, шинэ итгэлцлийн тулгуур хэрэгтэй. Эхнийх нь зорилтот хүчингүй болголт, хоёр дахь нь шилжилт тул өөр өөр зөвшөөрөл, өөр өөр засвар үйлчилгээний цонх шаарддаг. Хүснэгт хоёуланг нь хамрах хүрээ, хүчин чармайлт, буцаах боломжоор харьцуулан харуулна.

Алдсан зөөврийн компьютерт блок жагсаалт хэрэгтэй, учир нь хохирлын радиус нь нэг таних тэмдэг бөгөөд буруу хурууны хээг блоклосон бол өөрчлөлтийг буцааж болно. Алдагдсан байгууллагын түлхүүрт эргүүлэх хэрэгтэй, учир нь блок жагсаалт одоо хүртэл олгоогүй гэрчилгээнд тусалж чадахгүй. Эдгээр туйлын хооронд илэрсэн итгэмжлэл өөр зүйлд гарын үсэг зурж чадах байсан уу гэж асуу, учир нь байгууллага нэг хостоос илүү юм.

Хэрэг явдлын өмнө шийдвэрийг бичиж үлдээ, учир нь дарамтын дор сонгох нь ихэвчлэн өргөн хувилбарыг өгдөг. Ямар ч зам сонгосон, үлдсэн ажил ижил: чухал хост дээр хэрэгжилт болсныг батлах. Тэр мөчид хурууны хээ, огноог бүртгэх нь дараа нь нотолгоог боломжтой болгодог.

Татгалзалт болон үлдсэнийг шалга

Блоклогдсон таних тэмдгээс холбогдож бүтэлгүйтлийг батал, дараа нь зөвшөөрөгдсөн хамтрагчаас холбогдож, тэр өөрт хэрэгтэй зүйлдээ хүрсээр байгааг батал. Бүгдийг эвдэх өөрчлөлт бол амжилттай хүчингүй болголт биш. Хоёуланг шинэ сессээс хий, учир нь кэшлэгдсэн төлөв үр дүнг нууж болно.

Өөрчлөлтийн дараа тогтсон сесс дуусах эсэхийг шалгаж, файл засварлах нь ямар нэг зүйлийг зогсоодог гэж таамаглахын оронд өөрийн хувилбар, тохиргооны зан төлөвийг бүртгэ. disconnect_invalid сонголт нь гэрчилгээ нь хугацаа дууссан эсвэл хүчингүй клиентүүдийг хамардаг тул түүнд найдахын өмнө өөрийн тохиолдолд хэрхэн хамаарахыг батал. Хэрэв шуурхай зогсоох шаардлага бол түүнийг тусад нь туршиж, ажигласнаа бүртгэ. Дараа нь дахин ачаалсны дараа туршилтыг давта, учир нь жагсаалтыг дараагийн дахин ачаалах хүртэл л хэрэгжүүлдэг хостод эхний туршилт нуусан хүргэлтийн асуудал байна. Эрүүл гэрэлт цамхаг илрүүлэлт ажиллаж байгааг хэлнэ, аль нэг хамтрагч бодлого хэрэгжүүлснийг биш.