Nebula ला तीन फाइली लागतात: CA, होस्ट प्रमाणपत्र आणि होस्ट की

कोणाला Nebula डिरेक्टरी दिल्यास तो सहसा सर्व काही कॉपी करतो, तुमच्या वर्कस्टेशनवरून कधीही बाहेर पडू नये अशी फाइलही। गोंधळ समजण्यासारखा आहे, कारण होस्टच्या PKI ब्लॉकमधील तीनही फाइली एकसारख्या दिसतात आणि त्यातील दोन प्रमाणपत्रे आहेत। प्रत्येक वेगळ्या प्रश्नाचे उत्तर देते, आणि त्यातील फक्त दोनच नोडवर हवीत। काहीही कॉपी करण्यापूर्वी त्यांना भूमिकेनुसार वेगळे करा।

तीन फाइली, तीन वेगळी कामे

CA प्रमाणपत्र विश्वासाचा आधार आहे: दुसरा होस्ट स्वतःची ओळख सादर करतो तेव्हा कोणत्या प्राधिकरणांवर विश्वास ठेवायचा हे ते होस्टला सांगते। होस्ट प्रमाणपत्र हे नोडचे स्वतःचे ओळखपत्र आहे, ज्यावर त्या प्राधिकरणाने स्वाक्षरी केलेली असते। होस्ट की हा त्याचा जुळणारा खाजगी अर्धा भाग आहे, आणि तो नेमका एकाच मशीनचा आहे। CA प्रमाणपत्र आणि स्वतःची जोडी असलेला नोड overlay मध्ये सामील होऊन आपण कोण आहोत हे सिद्ध करू शकतो। दुसऱ्याची की असलेला नोडही स्वतःला ती व्यक्ती म्हणून सांगू शकतो, आणि हीच ती चूक टाळण्यासाठी ही रचना आहे।

म्हणून चालणारी होस्ट डिरेक्टरी दुसऱ्या मशीनवर कॉपी करणे हा कोणताही शॉर्टकट नाही। ती अंदाजित परिणाम असलेली बनावट ओळख आहे।

स्वाक्षरी की कधीही प्रवास करत नाही

CA स्वाक्षरी की कोणत्याही होस्ट कॉन्फिगरेशनचा भाग नाही। ती नवीन ओळख्या तयार करते, आणि ज्याच्याकडे ती आहे तो कोणत्याही overlay पत्त्यासाठी आणि कोणत्याही गटासाठी प्रमाणपत्र काढू शकतो। सहकाऱ्यांना स्वाक्षऱ्या तपासण्यासाठी फक्त सार्वजनिक CA प्रमाणपत्र लागते, म्हणून क्लायंटवर खाजगी अर्ध्या भागाची काहीच भूमिका नाही। प्रमाणपत्रे काढली जातात त्या मशीनवर ती ठेवा, आणि अपघाताने झालेली प्रत सुविधा नव्हे तर घटना माना।

अनेक जणांना प्रमाणपत्रे काढायची असल्यास त्यांना कीची प्रत नव्हे तर प्रक्रिया द्या। लॅपटॉपवरची सामायिक स्वाक्षरी की ही अशी सत्ता आहे जिचे कोणीही लेखापरीक्षण किंवा रद्दीकरण करू शकत नाही।

होस्ट प्रमाणपत्रात काय असते

होस्ट प्रमाणपत्र कीशी फक्त फाइलचे नाव नाही तर अधिक जोडते। ते नोडचा overlay पत्ता, त्याचे नाव आणि गटसदस्यत्व ठेवते, सर्व स्वाक्षरी केलेले, जेणेकरून सहकारी ते स्वीकारायचे की नाही हे ठरवू शकेल। म्हणूनच होस्टचे नाव बदलणे म्हणजे कॉन्फिगरेशनची एक ओळ संपादित करणे नव्हे, तर नवे प्रमाणपत्र काढणे।

nebula-cert print -path host.crt प्रत्यक्षात काय काढले गेले हे दाखवते। प्रमाणपत्रात तुम्ही हेतू असलेला पत्ता आहे असे गृहीत धरण्यापूर्वी ते वाचा।

पुन्हा लोड करणे नेहमी पुरत नाही

काही PKI सेटिंग्ज सिग्नलवर पुन्हा लोड होतात, आणि काही होत नाहीत। ज्या प्रमाणपत्राचा overlay पत्ता बदलला आहे ही पुन्हा लोड करण्याऐवजी प्रक्रिया पुन्हा सुरू करावी लागणारी पारंपरिक स्थिती आहे।

कॉन्फिगरेशन फाइल नावे घेते त्या पथांपुरते नव्हे, तर चालू प्रक्रियेने प्रत्यक्षात उघडलेले पथ तपासा। त्यानंतर एक ओळखपत्र बदला, कनेक्टिव्हिटी आणि लॉग तपासा, आणि त्यानंतरच पुढच्याला हात लावा। जुने प्रमाणपत्र मेमरीत राहूनही यशस्वी दिसणारे पुन्हा लोडिंग अशी विसंगती निर्माण करते जी राउटिंग समस्येसारखी दिसते। पुन्हा सुरू करणे स्वस्त आहे; अर्धे overlay ज्याला अजूनही जुन्या पद्धतीने पाहते अशी ओळख डीबग करणे स्वस्त नाही।

ओळख काढण्यासाठी ब्लॉकलिस्ट लागते

हरवलेले किंवा उघड झालेले ओळखपत्र बदलण्याचे दोन अर्धे भाग आहेत। नवे प्रमाणपत्र प्रवेश पुन्हा मिळवून देते, आणि जुनी ओळख स्वीकारली जाणे थांबवावे लागते। या वेगळ्या क्रिया आहेत, आणि फक्त पहिली केल्यास तडजोड झालेले ओळखपत्र वैध राहते।

ब्लॉकलिस्ट ही तुम्ही होस्टमध्ये वाटप करता ती फाइल आहे, lighthouse स्वतः पाठवत नाही। आज ऑफलाइन असलेल्यांसह प्रत्येक नोडपर्यंत ती कशी पोहोचेल याची योजना करा, आणि कोणती बोटांची खुणा तुम्ही ब्लॉक केली ते नोंदवा। प्रमाणपत्रे काढणाऱ्या मशीनवर की फिरवा आणि नव्या प्रमाणपत्राचा तपशील होस्ट नोंदीजवळ ठेवा। फक्त तुम्ही संपादित केलेल्या मशीनवर असलेले रद्दीकरण हे रद्दीकरण नाही।