Nebula сертификатыг дахин ачаалах нь IP хаягийг өөрчлөөгүй: учир нь энэ
Дахин ачаалах нь хост-ийн нэвтрэх мэдээллийг overlay хаяг хэвээр байх үед л дахин уншина. Хаягийг солих нь дахин эхлүүлэх, сүлжээний өөрчлөлт гэсэн үг, дахин оролдлого биш.
Та өөр overlay хаягтай шинэ хост сертификат олгож, хуучин файл дээр хуулж, дахин ачааллыг илгээхэд хост өмнөх хаягаараа хариулсаар байна. Ердийн хариу үйлдэл нь дахин ачаалал бүтэлгүйтсэн эсвэл буруу файл уншсан гэж бодох юм. Ихэвчлэн аль нь ч болоогүй: ажиллаж буй процесс өөрт аль хэдийн байсан таних тэмдгийг санаатайгаар хадгалсан, учир нь орлуулалт нь дахин ачаалах хэрэглэж чадахгүй зүйлийг өөрчилсөн.
Nebula-ийн PKI дахин ачаалах дэмжлэг нь яг энэ хязгаартайгаар баримтлагдсан бөгөөд мөн баримт бичиг бусад өөрчлөлтөд дахин ачаалах ажилладаг гэж үзүүлбэл үүнийг анзаарахгүй өнгөрөхөд хялбар.
Дахин ачаалах нь юуг дахин уншдаг вэ
Хост сертификат нь SSH түлхүүр шиг энгийн нэвтрэх мэдээлэл биш. Энэ нь overlay хаяг, хост-ийн нэр, бүлгийн гишүүнчлэл, хүчинтэй хугацааны цонхыг агуулж, эдгээр нь бүгд CA-ийн гарын үсгээр холбогдсон. Демон тэр гарын үсэгтэй агуулгыг өөрийгөө хэрхэн танилцуулах, ямар дүрэм үйлчлэхийг шийдэхэд ашигладаг.
Дахин ачаалах нь процессд өөрийн туннелүүдийг орхихгүйгээр шинэчлэгдсэн нэвтрэх мэдээллийг авах боломж олгодог бөгөөд энэ нь тогтмол ротацид үнэ цэнэтэй: ижил хаяг, ижил нэр, ижил бүлгүүд, хожуу дуусах хугацаа. Хязгаарлалт нь таних тэмдэг ижил байх ёстой. Overlay хаягийг өөрчилбөл дахин ачаалах зам үүнийг хэрэглэж чадахгүй, учир нь хаяг нь ажиллаж буй хувилбар аль хэдийн амласан зүйлийн нэг хэсэг.
Тиймээс таны харсан зан төлөв нь баримтлагдсан хязгаар өөрийн ажлаа хийж байгаа хэрэг, дуугүй алдаа биш. Диск дээрх файл шинэ; санах ой дахь таних тэмдэг хуучин; процесс дахин эхлүүлэхгүйгээр энэ ялгааг эвлэрүүлэх дэмжигдсэн аргагүй.
Хаяг, нэр, бүлгүүд нь нэг таних тэмдэг
Сертификатыг тус тусад нь засварлаж болох талбаруудын багц биш, нэг бичлэг гэж үзэх нь тустай. Хаягийг зөөх нь тохиргоо өөрчлөхтэй адилгүй, учир нь хаяг нь бусад хост-уудын peer тохиргоо, үйлчилгээний холболт, таних тэмдгийн эсрэг бичсэн бодлогод гарч ирдэг.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Бүлгүүд тусдаа мөрөнд хүртэх ёстой, учир нь тэд ижил будлианы илүү тайван хувилбарыг үүсгэдэг. Хаягаа хадгалах боловч бүлгээ сольсон хост дахин эхлүүлсний дараа өөр үйлчилгээнд хүрч болох бөгөөд зөвхөн хуучин хаяг руу ping хийдэг шалгалт бүрэн эрүүл харагдана, гэвч доор нь хандалтын шийдвэрүүд өөрчлөгдсөн байна. Зөвхөн хүрэх боломж биш, дүрэмд хамаарах нэг үйлчилгээг шалгаарай. Туннелийг баталгаажуулах ба бодлогыг баталгаажуулах хоорондын ялгаа энэ.
Ачаалсан сертификатыг орлуулагчтай харьцуул
Демон файлыг үл тоомсорлосон гэж бодохоос өмнө хоёуланг нь уншаарай. Ачаалахыг зорьж буй сертификатаа хэвлэж, өөрчилсөн гэж бодож буй талбаруудаа баталгаажуул, дараа нь ажиллаж буй тохиргоо тэр зам руу зааж байгаа, өөр газар дахь хуулбар руу биш гэдгийг баталгаажуул.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Процессийн аргументууд хүмүүсийн хүлээхээс илүү чухал. -config /etc/nebula/config.yml дамжуулж буй нэгж тэр файлын pki.cert бичлэгийг уншдаг бөгөөд түр зуурын хавтаст суулгасан сертификат юунд ч нөлөөлөхгүй. Ажиллаж буй командын мөр дэх замыг шалгаарай, таны дагасан баримт бичиг дэх замыг биш. Хоёр нь ялгаатай бол та сертификатад огт хүрэлгүйгээр асуудлыг олсон байна.
Хэрэв шинэ сертификат өөр хаягтай бөгөөд процесс хуучныг нь хадгалсан бол одоо танд нууц биш, тайлбар байна. Хэрэв хүлээн зөвшөөрөхүйц бол дахин эхлүүл, хаягийн өөрчлөлтийг санамсаргүй бус, төлөвлөсөн сүлжээний өөрчлөлт гэж үзээрэй.
Хаягийн өөрчлөлт бол сүлжээний өөрчлөлт
Машиныг зөөхөөр төлөвлөдөг шигээ төлөвлөөрэй. Бусад хост-ууд хуучин хаягийг тохиргоондоо тээглүүлсэн байж болно, үйлчилгээнүүд түүнд шууд холбогдсон байж болно, галт ханын дүрмүүд түүний эсрэг бичигдсэн байж болно. Сертификатыг өөрчлөх нь хост-ыг зөөдөг, хост-ыг зөөх нь өөр газрын таамаглалуудыг хүчингүй болгодог.
Үүнийг хийж байхдаа хоёр дахь удирдлагын замыг нээлттэй байлгаарай, учир нь таны тасалдуулж буй зүйл яг overlay холболт байж магадгүй. Эвдэх гэж буй туннелийн дээгүүр үүнийг хийх нь таван минутын өөрчлөлтийг газар дээр очих айлчлал болгох сонгодог арга.
Дахин эхлүүлэх нь хүлээн зөвшөөрөхүйц эсэх нь хост юу хийж байгаагаас хамаарна, энэ нь техникийн бус, төлөвлөлтийн асуудал. Заавал байх ёстой зүйл бол дахин ачааллыг тав дахь удаа илгээхийн оронд дахин эхлүүлэх шаардлагыг хүлээн зөвшөөрөх.
Хуучин нэвтрэх мэдээллийг тусад нь цуцал
Нэг машин дээр орлуулагч суулгах нь peer бүр өөрийн мэддэг нэвтрэх мэдээлэлд итгэсээр байхыг үлдээдэг. Хэрэв өөрчлөлтийн шалтгаан эвдрэл байсан бол хуучин таних тэмдгийг итгэл эсвэл блок-жагсаалтын журмаар цуцлах ёстой, ингэснээр peer-үүд үнэхээр татгалзана.
Энэ нь өөрийн шалгалттай тусдаа алхам: шинэ файл ажлаа хийсэн гэж бодохын оронд өөр хост-оос хуучин таних тэмдэг ажиллахаа больсныг баталгаажуулаарай. Nebula-ийн PKI тохиргооны баримт бичиг дахин ачаалж болох тохиргоо болон энд тайлбарласан хаягийн хязгаарлалтыг хамардаг бөгөөд үйлдвэрлэлийн ямар нэг зүйлийг ротаци хийхээс өмнө бүрэн унших нь зүйтэй.