Senarai blok Nebula: edarkannya, rumah api tidak akan

Penguatkuasaan senarai blok ialah sifat hos yang melakukan pemeriksaan, bukan sijil yang diperiksa. Mesin yang tidak pernah memuatkan entri itu terus menerima identiti tersebut, dan tiada apa dalam jabat tangan memberi amaran bahawa dua rakan tidak bersetuju. Pembetulan murah dan pembetulan mahal untuk satu kelayakan yang terdedah berbeza dari segi jangkauan dan kebolehan dikembalikan, jadi pilih dengan sengaja. Bahagian di bawah merangkumi apa yang entri lakukan, ke mana ia perlu dihantar, bila putaran ialah jawapan yang lebih baik, dan bagaimana membuktikan bahawa salah satu daripadanya berkesan.

Apa yang sebenarnya dilakukan oleh entri senarai blok

Konfigurasi PKI menyenaraikan cap jari yang mesti ditolak oleh hos walaupun sijil ditandatangani secara sah dan belum tamat tempoh. Penguatkuasaan berlaku secara setempat, terhadap senarai yang dimuatkan oleh hos itu apabila perkhidmatan bermula. Tiada apa tentang entri itu bergerak di dalam sijil, jadi rakan tidak boleh mempelajari keputusan daripada kelayakan yang ditunjukkan kepadanya. Itulah sebabnya rumah api tidak memainkan peranan di sini: rumah api membantu rakan menemui satu sama lain dan menyampaikan trafik di tempat laluan langsung gagal. Ia lapisan penemuan dan penyampaian, bukan saluran pengedaran konfigurasi.

Mengemas kini satu mesin mengubah keputusan mesin itu dan membiarkan setiap rakan lain tepat seperti sebelumnya. Rakan yang mempercayai pihak berkuasa penandatangan dan tidak pernah melihat entri itu tiada sebab untuk menolak apa-apa. Oleh itu menguji pembatalan dengan memerhati rumah api tidak membuktikan apa-apa, kerana komponen yang anda perhati tidak pernah diminta menguatkuasakan senarai itu.

Kenal pasti sijil, bukan peranti

Gunakan cap jari kelayakan yang anda mahu tolak, kerana nama hos, label peranti atau alamat semasa mengenal pasti mesin hari ini dan sesuatu yang lain bulan depan. Tiada satu pun daripada rentetan itu muncul dalam senarai blok, dan tiada satu pun bertahan selepas pemasangan semula. Cetak sijil, baca cap jari, dan sahkan bahawa ia milik kelayakan yang akan ditarik balik dan bukan milik penggantinya. Membaca kedua-dua fail penting apabila pengganti sudah dikeluarkan, kerana sijil lama dan baharu boleh berkongsi nama dan berbeza dalam setiap medan lain.

Catat cap jari mana yang disekat dan bila, supaya audit kemudian memisahkan perubahan yang selesai daripada yang dirancang. Catat juga apa yang tidak dilakukan oleh entri: ia tidak membatalkan pihak berkuasa penandatangan, dan ia tidak menghalang sijil masa depan daripada pihak berkuasa itu diterima. Menyekat sijil hos dan menggantikan pihak berkuasa yang terjejas ialah operasi berbeza dengan kesan berbeza.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Edarkannya seperti mana-mana konfigurasi lain

Anggap senarai itu sebagai konfigurasi dengan mekanisme penghantaran, bukan fail yang seseorang sunting apabila teringat. Hantar senarai penuh dan bukan delta, supaya hos yang terlepas kemas kini terdahulu menyesuaikan diri dan bukannya mengumpul jurang. Dokumentasi PKI Nebula menyarankan tepat itu, dan nasihat itu wajar diikuti secara literal dan bukannya diungkapkan semula menjadi proses manual.

Sahkan bahawa perkhidmatan yang berjalan telah memuat semula kandungan, bukan sekadar fail pada cakera berubah. Jejaki mesin mana yang menggunakan perubahan itu dan kekalkan senarai yang belum selesai kelihatan sehingga kosong. Komputer riba yang ditutup selama seminggu ialah rakan yang tidak pernah mempelajari keputusan itu, dan ia mungkin menyambung semula dari rangkaian yang tidak dijangka oleh sesiapa. Catat kaedah penghantaran di sebelah cap jari, kerana pembatalan seterusnya menggunakan semula kaedah itu dan pada yang pertama proses itu dinyahpepijat.

Senarai blok atau putaran pihak berkuasa

Entri senarai blok adalah sempit: satu identiti berhenti berfungsi dan segala-galanya diteruskan. Memutar pihak berkuasa penandatangan adalah luas: setiap sijil yang dikeluarkannya menjadi tidak dipercayai, dan setiap hos memerlukan kelayakan baharu dan sauh kepercayaan baharu. Yang pertama ialah pembatalan bersasar dan yang kedua ialah penghijrahan, jadi ia memerlukan kelulusan berbeza dan tetingkap penyelenggaraan berbeza. Jadual meletakkan kedua-duanya bersebelahan dari segi jangkauan, usaha dan kebolehan dikembalikan.

Komputer riba yang hilang memerlukan senarai blok, kerana jejari kerosakan ialah satu identiti dan perubahan itu boleh dikembalikan jika anda menyekat cap jari yang salah. Kunci pihak berkuasa yang bocor memerlukan putaran, kerana senarai blok tidak dapat membantu dengan sijil yang belum dikeluarkan. Antara dua keterlaluan itu, tanyakan sama ada kelayakan yang terdedah itu boleh menandatangani perkara lain, kerana pihak berkuasa lebih daripada satu hos.

Tuliskan keputusan itu sebelum insiden, kerana memilih di bawah tekanan cenderung menghasilkan pilihan luas secara lalai. Apa jua laluan yang anda ambil, item kerja yang tinggal adalah sama: buktikan bahawa penguatkuasaan berlaku pada hos yang penting. Merekod cap jari dan tarikh pada saat itu itulah yang menjadikan bukti mungkin kemudian.

Sahkan penolakan dan selebihnya

Sambung dari identiti yang disekat dan sahkan kegagalan, kemudian sambung dari rakan yang dibenarkan dan sahkan ia masih mencapai apa yang diperlukannya. Perubahan yang memutuskan semua orang bukan pembatalan yang berjaya. Lakukan kedua-duanya dari sesi baharu, kerana keadaan yang dicache boleh menyembunyikan hasilnya.

Periksa sama ada sesi yang sudah terbentuk berakhir selepas perubahan, dan catat tingkah laku untuk versi dan konfigurasi anda dan bukannya menganggap bahawa menyunting fail mengakhiri apa-apa. Pilihan disconnect_invalid meliputi klien yang sijilnya tamat tempoh atau tidak sah, jadi sahkan bagaimana ia terpakai pada kes anda sebelum bergantung padanya. Jika penamatan segera ialah keperluan, ujinya secara khusus dan catat apa yang anda perhatikan. Kemudian ulangi ujian selepas mula semula, kerana hos yang menguatkuasakan senarai hanya sehingga but semula seterusnya mempunyai masalah penghantaran yang disembunyikan oleh ujian pertama. Rumah api yang sihat memberitahu anda bahawa penemuan berfungsi, bukan bahawa mana-mana rakan telah menggunakan dasar.