Ir-rikarika taċ-ċertifikat Nebula ma bidlitx l-IP: hawn għaliex
Rikarika terġa’ taqra l-kredenzjali tal-host biss meta l-indirizz tal-overlay jibqa’ l-istess. Li tbiddel l-indirizz ifisser tiswija mill-ġdid u bidla fin-netwerk, mhux provatura oħra.
Tħarriġ ċertifikat ġdid tal-host b’indirizz tal-overlay differenti, tikkupjah fuq il-fajl antik, tibgħat ir-rikarika, u l-host jibqa’ jwieġeb fuq l-indirizz li kellu qabel. Ir-rifless huwa li wieħed jassumi li r-rikarika falliet jew li nqara l-fajl ħażin. Normalment ma ġara l-anqas waħda: il-proċess li qed jaħdem żamm l-identità li kellu diġà b’mod deliberat, għax is-sostitut biddel xi ħaġa li rikarika ma tistax tapplika.
L-appoġġ tar-rikarika tal-PKI f’Nebula huwa dokumentat b’din il-fruntiera, u huwa faċli li taqbiżha meta l-istess dokumentazzjoni turi li r-rikarika taħdem għal bidliet oħra.
X’taqra mill-ġdid fir-rikarika
Ċertifikat tal-host mhuwiex biss kredenzjali bħal ma hi ċavetta SSH. Iġorr l-indirizz tal-overlay, l-isem tal-host, is-sħubija fil-gruppi u tieqa ta’ validità, u dawn kollha huma marbuta flimkien bil-firma tas-CA. Id-daemon juża dak il-kontenut iffirmat biex jiddeċiedi kif jippreżenta ruħu u liema regoli japplikaw għalih.
Rikarika tħalli lill-proċess jieħu kredenzjali mġedda mingħajr ma jwaqqa’ l-mini tiegħu, li hija ta’ valur għal rotazzjoni ta’ rutina: l-istess indirizz, l-istess isem, l-istess gruppi, skadenza aktar tard. Il-limitazzjoni hija li l-identità trid tibqa’ l-istess. Ibdel l-indirizz tal-overlay u t-triq tar-rikarika ma tistax tapplikah, għax l-indirizz huwa parti minn dak li l-istanza li qed taħdem diġà impenjat ruħha għalih.
Allura l-imġiba li rajt hija l-limitu dokumentat li qed jagħmel xogħlu, mhux falliment sieket. Il-fajl fuq id-diska huwa ġdid; l-identità fil-memorja hija antika; il-proċess m’għandux mod appoġġat biex jaqbel dik id-differenza mingħajr tiswija mill-ġdid.
Indirizz, isem u gruppi huma identità waħda
Jgħin li taħseb fiċ-ċertifikat bħala rekord wieħed u mhux bħala sett ta’ oqsma li tista’ teditahom b’mod indipendenti. Li ċċaqlaq l-indirizz mhuwiex bħal tibdil ta’ preferenza, għax l-indirizz jidher fil-konfigurazzjonijiet tal-pari ta’ hosts oħra, fl-irbit tas-servizzi u fil-politiki miktuba kontra l-identità.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Il-gruppi jistħoqqilhom linja tagħhom għax jikkawżaw verżjoni aktar kwieta tal-istess konfużjoni. Host li jżomm l-indirizz tiegħu imma jbiddel il-gruppi jista’ jilħaq servizzi differenti wara tiswija mill-ġdid, u test li jagħmel ping biss fuq l-indirizz antik jidher kompletament f’saħħtu waqt li d-deċiżjonijiet tal-aċċess inbidlu taħtu. Iċċekkja servizz wieħed irregolat b’regola, mhux biss il-kapaċità li tintlaħaq. Dik hija d-differenza bejn li tikkonferma l-mina u li tikkonferma l-politika.
Qabbel iċ-ċertifikat mgħobbi mas-sostitut
Qabel ma tassumi li d-daemon injora l-fajl, aqra t-tnejn. Ipprintja ċ-ċertifikat li beħsiebek tgħabbi u kkonferma l-oqsma li taħseb li biddilt, imbagħad ikkonferma li l-konfigurazzjoni li qed taħdem qed tipponta lejn dik it-triq u mhux lejn kopja x’imkien ieħor.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)L-argumenti tal-proċess huma aktar importanti milli jistennew in-nies. Unità li tgħaddi -config /etc/nebula/config.yml taqra d-dħul pki.cert ta’ dak il-fajl, u ċertifikat installat f’direttorju temporanju ma jaffettwa xejn. Iċċekkja t-triq fil-linja tal-kmand li qed taħdem, mhux it-triq fid-dokumentazzjoni li segwejt. Jekk it-tnejn huma differenti, sibt il-problema mingħajr ma mess iċ-ċertifikat xejn.
Jekk iċ-ċertifikat il-ġdid għandu indirizz differenti u l-proċess żamm dak antik, issa għandek spjegazzjoni u mhux misteru. Erġa’ ibda l-proċess jekk dan huwa aċċettabbli, u ttratta l-bidla tal-indirizz bħala bidla fin-netwerk ippjanata u mhux inċidentali.
Bidla fl-indirizz hija bidla fin-netwerk
Ippjana kif tippjana li ċċaqlaq magna. Hosts oħra jistgħu jkunu waħħlu l-indirizz antik fil-konfigurazzjoni tagħhom, is-servizzi jistgħu jorbtu miegħu b’mod espliċitu, u r-regoli tal-firewall jistgħu jkunu miktuba kontrih. Li tbiddel iċ-ċertifikat iċaqlaq il-host, u li ċċaqlaq il-host tinvalida suppożizzjonijiet x’imkien ieħor.
Żomm tieni triq ta’ ġestjoni disponibbli waqt li tagħmel dan, għax il-konnessjoni tal-overlay tista’ tkun dik li qed tinterrompi. Li tagħmel dan fuq il-mina li se tkisser huwa l-mod klassiku biex bidla ta’ ħames minuti ssir żjara fuq il-post.
Jekk tiswija mill-ġdid hijiex aċċettabbli jiddependi minn dak li qed jagħmel il-host, u din hija kwistjoni ta’ skedar u mhux teknika. Dak li mhuwiex fakultattiv huwa li tirrikonoxxi r-rekwiżit tat-tiswija mill-ġdid minflok tibgħat ir-rikarika għall-ħames darba.
Irtira l-kredenzjali antika b’mod separat
Li tinstalla sostitut fuq magna waħda jħalli kull pari għad għandu fiduċja fil-kredenzjali li diġà jaf biha. Jekk ir-raġuni għall-bidla kienet kompromess, l-identità antika trid tiġi rtirata permezz tal-proċedura ta’ fiduċja jew lista ta’ blokk sabiex il-pari verament jirrifjutawha.
Dan huwa pass separat bil-verifika tiegħu stess: ikkonferma minn host ieħor li l-identità antika m’għadhiex taħdem, minflok tassumi li l-fajl il-ġdid għamel ix-xogħol. Id-dokumentazzjoni tal-konfigurazzjoni tal-PKI ta’ Nebula tkopri s-settings li jistgħu jerġgħu jitgħabbew u l-limitazzjoni tal-indirizz deskritta hawn, u ta’ min jaqraha kollha qabel ma ddawwar xi ħaġa fil-produzzjoni.