Nebula perlukan tiga fail: CA, sijil hos, kunci hos

Jika anda beri direktori Nebula kepada seseorang, dia biasanya menyalin semuanya, termasuk fail yang tidak sepatutnya keluar dari stesen kerja anda. Kekeliruan itu wajar, kerana tiga fail dalam blok PKI hos kelihatan serupa dan dua daripadanya ialah sijil. Setiap satu menjawab soalan berbeza, dan hanya dua yang tergolong pada nod. Susun mengikut peranan sebelum menyalin apa-apa.

Tiga fail, tiga tugas berbeza

Sijil CA ialah sauh kepercayaan: ia memberitahu hos pihak berkuasa mana yang harus dipercayai apabila hos lain mengemukakan identitinya. Sijil hos ialah kelayakan nod itu sendiri, ditandatangani oleh pihak berkuasa tersebut. Kunci hos ialah pasangan peribadinya, dan ia milik tepat satu mesin. Nod yang memiliki sijil CA dan pasangannya sendiri boleh menyertai overlay dan membuktikan siapa dirinya. Nod yang memiliki kunci orang lain juga boleh mengaku sebagai orang itu, dan itulah kegagalan yang hendak dihalang oleh susunan ini.

Menyalin direktori hos yang berfungsi ke mesin kedua bukanlah jalan pintas. Ia identiti berganda dengan hasil yang boleh dijangka.

Kunci tandatangan tidak pernah bergerak

Kunci tandatangan CA bukan sebahagian daripada mana-mana konfigurasi hos. Ia menempa identiti baharu, dan sesiapa yang memegangnya boleh mengeluarkan sijil untuk mana-mana alamat overlay dan mana-mana kumpulan. Rakan hanya perlukan sijil CA awam untuk mengesahkan tandatangan, jadi separuh peribadi itu langsung tiada peranan pada klien. Simpan pada mesin tempat sijil dikeluarkan, dan anggap salinan tidak sengaja sebagai insiden, bukan kemudahan.

Jika beberapa orang perlu mengeluarkan sijil, beri mereka proses, bukan salinan kunci. Kunci tandatangan yang dikongsi pada komputer riba ialah kuasa yang tiada siapa boleh audit atau batalkan.

Apa yang ada di dalam sijil hos

Sijil hos mengikat lebih daripada nama fail kepada kunci. Ia membawa alamat overlay nod, namanya dan keahlian kumpulannya, semuanya ditandatangani supaya rakan dapat memutuskan sama ada menerimanya. Itulah sebabnya menukar nama hos bermakna mengeluarkan sijil baharu, bukan menyunting satu baris konfigurasi.

nebula-cert print -path host.crt menunjukkan apa yang sebenarnya dikeluarkan. Bacalah sebelum menganggap sijil membawa alamat yang anda maksudkan.

Muat semula tidak selalu mencukupi

Sesetengah tetapan PKI dimuat semula dengan isyarat, sesetengahnya tidak. Sijil yang alamat overlaynya telah berubah ialah kes klasik yang memerlukan mula semula proses, bukan muat semula.

Sahkan laluan mana yang benar-benar dibuka oleh proses yang berjalan, bukan hanya laluan yang dinamakan oleh fail konfigurasi. Kemudian tukar satu kelayakan, sahkan sambungan dan log, dan barulah sentuh yang seterusnya. Muat semula yang kelihatan berjaya sementara sijil lama kekal dalam ingatan menghasilkan ketidakseragaman yang kelihatan seperti masalah penghalaan. Mula semula itu murah; menyahpepijat identiti yang separuh overlay masih melihat cara lama tidak murah.

Membuang identiti memerlukan senarai sekatan

Mengganti kelayakan yang hilang atau terdedah mempunyai dua bahagian. Sijil baharu memulihkan akses, dan identiti lama mesti berhenti diterima. Kedua-duanya operasi berasingan, dan melakukan yang pertama sahaja membiarkan kelayakan yang terjejas kekal sah.

Senarai sekatan ialah fail yang anda edarkan kepada hos, bukan sesuatu yang lighthouse tolak keluar sendiri. Rancang bagaimana ia sampai ke setiap nod, termasuk yang luar talian hari ini, dan catat cap jari mana yang anda sekatan. Putar kunci pada mesin pengeluar dan simpan butiran sijil baharu bersama rekod hos. Pembatalan yang hanya wujud pada mesin yang anda sunting bukan pembatalan.