Muat semula sijil Nebula tidak mengubah IP: inilah sebabnya

Anda mengeluarkan sijil hos baharu dengan alamat overlay yang berbeza, menyalinnya ke atas fail lama, menghantar muat semula, dan hos terus menjawab pada alamat yang dimilikinya sebelum ini. Refleksnya ialah menganggap muat semula gagal atau fail yang salah telah dibaca. Biasanya tiada satu pun berlaku: proses yang sedang berjalan sengaja mengekalkan identiti yang sudah dimilikinya, kerana pengganti mengubah sesuatu yang muat semula tidak dapat melaksanakan.

Sokongan muat semula PKI Nebula didokumenkan dengan had itu, dan mudah terlepas pandang apabila dokumentasi yang sama menunjukkan muat semula berfungsi untuk perubahan lain.

Apa yang sebenarnya dibaca semula oleh muat semula

Sijil hos bukan sekadar kelayakan seperti kunci SSH. Ia membawa alamat overlay, nama hos, keahlian kumpulan dan tetingkap kesahan, dan semuanya terikat oleh tandatangan CA. Daemon menggunakan kandungan bertandatangan itu untuk memutuskan cara ia membentangkan dirinya dan peraturan apa yang terpakai kepadanya.

Muat semula membolehkan proses mengambil kelayakan yang diperbaharui tanpa menggugurkan terowongnya, yang bernilai untuk putaran rutin: alamat sama, nama sama, kumpulan sama, tamat tempoh lebih lewat. Kekangannya ialah identiti mesti kekal sama. Tukar alamat overlay dan laluan muat semula tidak dapat melaksanakannya, kerana alamat ialah sebahagian daripada apa yang telah komited oleh instans yang sedang berjalan.

Jadi tingkah laku yang anda lihat ialah had berdokumen yang menjalankan tugasnya, bukan kegagalan senyap. Fail pada cakera baharu; identiti dalam ingatan lama; proses tidak mempunyai cara yang disokong untuk mendamaikan perbezaan itu tanpa mula semula.

Alamat, nama dan kumpulan ialah satu identiti

Ia membantu untuk menganggap sijil sebagai satu rekod dan bukan satu set medan yang boleh diedit secara berasingan. Memindahkan alamat bukan seperti menukar keutamaan, kerana alamat muncul dalam konfigurasi rakan hos lain, dalam ikatan perkhidmatan dan dalam dasar yang ditulis terhadap identiti itu.

Kumpulan wajar mendapat barisnya sendiri kerana ia menyebabkan versi yang lebih senyap daripada kekeliruan yang sama. Hos yang mengekalkan alamatnya tetapi bertukar kumpulan boleh mencapai perkhidmatan berbeza selepas mula semula, dan ujian yang hanya membuat ping ke alamat lama akan kelihatan sepenuhnya sihat sementara keputusan akses telah berubah di bawahnya. Semak satu perkhidmatan yang dikawal peraturan, bukan hanya kebolehcapaian. Itulah perbezaan antara mengesahkan terowong dan mengesahkan dasar.

Bandingkan sijil yang dimuatkan dengan pengganti

Sebelum menganggap daemon mengabaikan fail, baca kedua-duanya. Cetak sijil yang ingin anda muat dan sahkan medan yang anda fikir telah diubah, kemudian sahkan konfigurasi yang berjalan menunjuk ke laluan itu dan bukan ke salinan di tempat lain.

nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)

Argumen proses lebih penting daripada yang dijangka orang. Unit yang menyalurkan -config /etc/nebula/config.yml membaca entri pki.cert fail itu, dan sijil yang dipasang dalam direktori sementara tidak mempengaruhi apa-apa. Semak laluan dalam baris arahan yang berjalan, bukan laluan dalam dokumentasi yang anda ikuti. Jika kedua-duanya berbeza, anda telah menemui masalah tanpa menyentuh sijil itu.

Jika sijil baharu mempunyai alamat berbeza dan proses mengekalkan yang lama, kini anda mempunyai penjelasan dan bukan misteri. Mulakan semula jika boleh diterima, dan anggap perubahan alamat sebagai perubahan rangkaian yang dirancang dan bukan kemalangan.

Perubahan alamat ialah perubahan rangkaian

Rancang ia seperti anda merancang memindahkan mesin. Hos lain mungkin telah menyematkan alamat lama dalam konfigurasi mereka, perkhidmatan mungkin terikat secara eksplisit kepadanya, dan peraturan firewall mungkin ditulis terhadapnya. Menukar sijil memindahkan hos, dan memindahkan hos membatalkan andaian di tempat lain.

Kekalkan laluan pengurusan kedua tersedia semasa melakukannya, kerana sambungan overlay mungkin yang sedang anda ganggu. Melakukannya melalui terowong yang akan anda putuskan ialah cara klasik untuk menukar perubahan lima minit menjadi lawatan ke tapak.

Sama ada mula semula boleh diterima bergantung pada apa yang hos lakukan, dan itu persoalan penjadualan, bukan teknikal. Yang bukan pilihan ialah mengakui keperluan mula semula dan bukannya menghantar muat semula kali kelima.

Bersarakan kelayakan lama secara berasingan

Memasang pengganti pada satu mesin membiarkan setiap rakan masih mempercayai kelayakan yang sudah dikenalnya. Jika sebab perubahan itu ialah kompromi, identiti lama mesti dibersarakan melalui prosedur kepercayaan atau senarai sekatan supaya rakan benar-benar menolaknya.

Itu langkah berasingan dengan pengesahannya sendiri: sahkan dari hos lain bahawa identiti lama tidak lagi berfungsi, dan bukannya menganggap fail baharu telah menyelesaikan tugas. Dokumentasi konfigurasi PKI Nebula merangkumi tetapan yang boleh dimuat semula dan had alamat yang diterangkan di sini, dan ia wajar dibaca sepenuhnya sebelum memutar apa-apa yang berdepan pengeluaran.