Nebula-д гурван файл хэрэгтэй: CA, хөтлөгчийн гэрчилгээ, хөтлөгчийн түлхүүр

Хэн нэгэнд Nebula хавтасыг өгвөл тэр ихэвчлэн бүгдийг, тэр дундаа таны ажлын станцаас хэзээ ч гарах ёсгүй файлыг хамт хуулна. Төөрөгдөл ойлгомжтой, учир нь хөтлөгчийн PKI блок дахь гурван файл ижил харагдах бөгөөд хоёр нь гэрчилгээ юм. Тус бүр өөр асуултад хариулдаг бөгөөд зөвхөн хоёр нь зангилаанд хамаарна. Ямар нэгэн зүйл хуулахаас өмнө тэдгээрийг үүргээр нь ялгана уу.

Гурван файл, гурван өөр ажил

CA гэрчилгээ бол итгэлийн зангуу: өөр хөтлөгч өөрийн таних мэдээллийг танилцуулах үед аль байгууллагад итгэхийг хөтлөгчид хэлж өгдөг. Хөтлөгчийн гэрчилгээ нь зангилааны өөрийн итгэмжлэл бөгөөд түүнд тэр байгууллага гарын үсэг зурсан байдаг. Хөтлөгчийн түлхүүр нь түүнд тохирох хувийн хагас бөгөөд яг нэг машин хамаарна. CA гэрчилгээ болон өөрийн хосгүй зангилаа overlay-д нэгдэж, хэн болохоо баталж чадна. Бусдын түлхүүртэй зангилаа бас өөрийгөө тэр хүн гэж танилцуулж чадна, энэ зохион байгуулалт яг тэр алдааг сэргийлэхэд зориулагдсан.

Тиймээс ажиллаж буй хөтлөгчийн хавтасыг хоёр дахь машин руу хуулах нь товч зам биш. Энэ нь урьдчилан таамаглах үр дагавартай давхардсан таних тэмдэг юм.

Гарын үсгийн түлхүүр хэзээ ч аялахгүй

CA гарын үсгийн түлхүүр ямар ч хөтлөгчийн тохиргооны хэсэг биш. Энэ нь шинэ таних тэмдэг үүсгэдэг бөгөөд түүнийг эзэмшигч ямар ч overlay хаяг, ямар ч бүлэгт гэрчилгээ олгож чадна. Хамтрагчдад гарын үсэг шалгахад зөвхөн нийтийн CA гэрчилгээ хэрэгтэй тул хувийн хагас клиент дээр огт үүрэггүй. Үүнийг гэрчилгээ олгодог машин дээр хадгалж, санамсаргүй хуулбарыг тав тух биш, тохиолдол гэж үзээрэй.

Хэд хэдэн хүн гэрчилгээ олгох шаардлагатай бол тэдэнд түлхүүрийн хуулбар биш, үйл явц өгөөрэй. Зөөврийн компьютер дээрх хуваалцсан гарын үсгийн түлхүүр бол хэн ч аудит хийж, хүчингүй болгож чадахгүй эрх мэдэл юм.

Хөтлөгчийн гэрчилгээний дотор юу байдаг вэ

Хөтлөгчийн гэрчилгээ нь түлхүүрт зөвхөн файлын нэрээс илүү зүйлийг холбодог. Энэ нь зангилааны overlay хаяг, нэр, бүлгийн гишүүнчлэлийг агуулж, бүгдэд нь гарын үсэг зурсан тул хамтрагч хүлээн авах эсэхийг шийдэж чадна. Тиймээс хөтлөгчийн нэрийг өөрчлөх нь тохиргооны мөрийг засах биш, шинэ гэрчилгээ олгох гэсэн үг.

nebula-cert print -path host.crt бодитоор юу олгогдсоныг харуулна. Гэрчилгээ таны зорьсон хаягийг агуулж байна гэж үзэхээс өмнө уншина уу.

Дахин ачаалах нь үргэлж хангалттай биш

Зарим PKI тохиргоо дохиогоор дахин ачаалагддаг, зарим нь дахин ачаалагддаггүй. overlay хаяг нь өөрчлөгдсөн гэрчилгээ нь дахин ачаалах биш, процесс дахин эхлүүлэх шаардлагатай сонгодог тохиолдол юм.

Ажиллаж буй процесс бодитоор ямар замыг нээснийг, зөвхөн тохиргооны файл дурдсан замыг биш, баталгаажуулаарай. Дараа нь нэг итгэмжлэлийг сольж, холболт, логыг шалгаж, дараа нь л дараагийнх руу шилжинэ. Хуучин гэрчилгээ санах ойд үлдсэн байхад амжилттай мэт харагдах дахин ачаалалт нь чиглүүлэлтийн асуудал мэт харагдах зөрүү үүсгэдэг. Дахин эхлүүлэх нь хямд; overlay-ийн тал хувь нь хуучнаар харж байгаа таних тэмдгийг алдаа засах нь хямд биш.

Таних тэмдгийг устгахад блок жагсаалт хэрэгтэй

Алдагдсан эсвэл ил болсон итгэмжлэлийг солих нь хоёр хагастай. Шинэ гэрчилгээ нэвтрэх эрхийг сэргээж, хуучин таних тэмдэг хүлээн авагдахаа болих ёстой. Эдгээр нь тусдаа үйлдэл бөгөөд зөвхөн эхнийхийг хийвэл эвдэрсэн итгэмжлэл хүчинтэй хэвээр үлдэнэ.

Блок жагсаалт бол таны хөтлөгчдөд тараадаг файл бөгөөд lighthouse өөрөө илгээдэг зүйл биш. Өнөөдөр сүлжээнд холбогдоогүй зангилааг оролцуулан зангилаа бүрт хэрхэн хүрэхийг төлөвлөж, ямар хурууны хээг блоклосноо тэмдэглээрэй. Олгогч машин дээр түлхүүрийг эргүүлж, шинэ гэрчилгээний мэдээллийг хөтлөгчийн бүртгэлтэй хамт хадгална уу. Зөвхөн таны зассан машин дээр байгаа хүчингүй болголт бол хүчингүй болголт биш.