Nebula jeħtieġ tliet fajls: CA, ċertifikat tal-host u ċavetta tal-host

Jekk tagħti lil xi ħadd direttorju Nebula, normalment jikkopja kollox, inkluż il-fajl li qatt m'għandu jitlaq mill-istazzjon tax-xogħol tiegħek. Il-konfużjoni tinftiehem, għax it-tliet fajls fil-blokk PKI tal-host jixbħu lil xulxin u tnejn minnhom huma ċertifikati. Kull wieħed iwieġeb mistoqsija differenti, u tnejn biss minnhom jappartjenu lin-nod. Issortjahom skont ir-rwol qabel ma tikkopja xi ħaġa.

Tliet fajls, tliet xogħlijiet differenti

Iċ-ċertifikat CA huwa ankra ta' fiduċja: jgħid lill-host liema awtoritajiet għandu jemmen meta host ieħor jippreżenta l-identità tiegħu. Iċ-ċertifikat tal-host huwa l-kredenzjali tan-nod stess, iffirmat minn dik l-awtorità. Iċ-ċavetta tal-host hija nofs il-privat li jikkorrispondi, u tappartjeni għal eżattament magna waħda. Nod b'iċ-ċertifikat CA u l-par tiegħu jista' jingħaqad mal-overlay u jipprova min hu. Nod b'ċavetta ta' xi ħadd ieħor jista' wkoll jgħid li hu dak il-persuna, u dan huwa l-falliment li dan l-arranġament għandu jipprevjeni.

Għalhekk l-ikkupjar ta' direttorju tal-host li jaħdem fuq it-tieni magna mhuwiex shortcut. Hija identità doppja b'riżultat prevedibbli.

Iċ-ċavetta tal-firma qatt ma tivvjaġġa

Iċ-ċavetta tal-firma CA mhijiex parti minn ebda konfigurazzjoni tal-host. Hija toħloq identitajiet ġodda, u min għandha jista' joħroġ ċertifikat għal kwalunkwe indirizz overlay u kwalunkwe grupp. Il-pari jeħtieġu biss iċ-ċertifikat CA pubbliku biex jivverifikaw il-firem, għalhekk in-nofs privat m'għandux rwol fuq klijent xejn. Żommha fuq il-magna fejn jinħarġu ċ-ċertifikati, u ttratta kopja aċċidentali bħala inċident, mhux bħala kumditità.

Jekk diversi persuni għandhom joħorġu ċertifikati, agħtihom proċess minflok kopja taċ-ċavetta. Ċavetta tal-firma kondiviża fuq laptop hija awtorità li ħadd ma jista' jaċċerta jew jirrevoka.

X'hemm ġewwa ċertifikat tal-host

Ċertifikat tal-host jorbot mal-ċavetta aktar minn isem ta' fajl. Huwa jġorr l-indirizz overlay tan-nod, ismu u s-sħubija tiegħu fi grupp, kollha ffirmati biex pari jkun jista' jiddeċiedi jekk jaqbilx miegħu. Għalhekk li tibdel isem host ifisser li toħroġ ċertifikat ġdid, mhux li teditja linja tal-konfigurazzjoni.

nebula-cert print -path host.crt juri x'inhareġ tassew. Aqrah qabel ma tassumi li ċ-ċertifikat iġorr l-indirizz li kellek f'moħħok.

Ritagħbija mill-ġdid mhijiex dejjem biżżejjed

Xi settings PKI jerġgħu jitgħabbu b'sinjal, u oħrajn le. Ċertifikat li l-indirizz tiegħu fl-overlay inbidel huwa l-każ klassiku li jeħtieġ tkomplija mill-ġdid tal-proċess minflok ritagħbija.

Ivverifika liema mogħdijiet il-proċess li qed jaħdem tassew fetaħ, mhux biss liema mogħdijiet jemmen il-fajl tal-konfigurazzjoni. Imbagħad ibdel kredenzjali waħda, ivverifika l-konnettività u l-logs, u biss imbagħad mess dak li jmiss. Ritagħbija li tidher li rnexxiet waqt li ċ-ċertifikat antik jibqa' fil-memorja tipproduċi nuqqas ta' qbil li jidher bħala problema tar-routing. Tkomplija mill-ġdid tiswa ftit; id-debugging ta' identità li nofs l-overlay għadu jara bil-mod il-qadim ma tiswiex ftit.

It-tneħħija ta' identità teħtieġ lista ta' blokki

Is-sostituzzjoni ta' kredenzjali mitlufa jew esposta għandha żewġ nofsijiet. Iċ-ċertifikat il-ġdid jerġa' jġib l-aċċess, u l-identità l-antika trid tibda ma tiġix aċċettata. Dawn huma operazzjonijiet separati, u li tagħmel l-ewwel waħda biss iħalli l-kredenzjali kompromessa valida.

Il-lista ta' blokki hija fajl li tiddistribwixxi lill-hosts, mhux xi ħaġa li lighthouse jimbotta waħdu. Ippjana kif tasal għal kull nod, inkluż dawk offline illum, u rrekordja liema impronti tas-swaba' blokkajt. Dawwar iċ-ċavetta fuq il-magna li toħroġ iċ-ċertifikati u żomm id-dettalji taċ-ċertifikat il-ġdid mar-rekord tal-host. Revoka li teżisti biss fuq il-magna li editjajt mhijiex revoka.