Nebula लाई तीन फाइल चाहिन्छ: CA, होस्ट प्रमाणपत्र र होस्ट कुञ्जी

कसैलाई Nebula निर्देशिका दिनुभयो भने उसले सामान्यतया सबै कपी गर्छ, तपाईंको कार्यस्थलबाट कहिल्यै बाहिर जान नहुने फाइल पनि। अलमल बुझ्न सकिन्छ, किनकि होस्टको PKI ब्लकमा रहेका तीनै फाइल एउटै जस्तो देखिन्छन् र तीमध्ये दुई प्रमाणपत्र हुन्। प्रत्येकले फरक प्रश्नको उत्तर दिन्छ, र तीमध्ये दुई मात्र नोडमा रहनुपर्छ। केही पनि कपी गर्नुअघि तिनलाई भूमिकाअनुसार छुट्याउनुहोस्।

तीन फाइल, तीन फरक काम

CA प्रमाणपत्र विश्वासको आधार हो: अर्को होस्टले आफ्नो पहिचान प्रस्तुत गर्दा कुन निकायलाई विश्वास गर्ने भनेर यसले होस्टलाई बताउँछ। होस्ट प्रमाणपत्र नोडकै आफ्नै परिचयपत्र हो, जसलाई त्यही निकायले हस्ताक्षर गरेको हुन्छ। होस्ट कुञ्जी त्यसको मिल्ने निजी आधा भाग हो, र त्यो ठ्याक्कै एउटै मेसिनको हो। CA प्रमाणपत्र र आफ्नै जोडी भएको नोड overlay मा सामेल भई आफू को हो भनी प्रमाणित गर्न सक्छ। अरू कसैको कुञ्जी भएको नोडले पनि आफूलाई त्यही व्यक्ति भनी दाबी गर्न सक्छ, र यही त्रुटि रोक्न यो संरचना बनाइएको हो।

त्यसैले चलिरहेको होस्ट निर्देशिका दोस्रो मेसिनमा कपी गर्नु कुनै छोटो बाटो होइन। यो अनुमान गर्न सकिने नतिजा भएको नक्कली पहिचान हो।

हस्ताक्षर कुञ्जी कहिल्यै यात्रा गर्दैन

CA हस्ताक्षर कुञ्जी कुनै पनि होस्ट कन्फिगरेसनको भाग होइन। यसले नयाँ पहिचान बनाउँछ, र जससँग यो छ उसले जुनसुकै overlay ठेगाना र जुनसुकै समूहका लागि प्रमाणपत्र जारी गर्न सक्छ। साथीहरूलाई हस्ताक्षर जाँच्न सार्वजनिक CA प्रमाणपत्र मात्र चाहिन्छ, त्यसैले क्लाइन्टमा निजी आधा भागको कुनै भूमिका हुँदैन। यसलाई प्रमाणपत्र जारी हुने मेसिनमै राख्नुहोस्, र दुर्घटनावश बनेको प्रतिलिपिलाई सुविधा होइन, घटना मान्नुहोस्।

धेरै जनाले प्रमाणपत्र जारी गर्नुपर्ने भए कुञ्जीको प्रतिलिपि होइन, एउटा प्रक्रिया दिनुहोस्। ल्यापटपमा राखिएको साझा हस्ताक्षर कुञ्जी त्यस्तो अधिकार हो जसको कसैले लेखापरीक्षण वा रद्द गर्न सक्दैन।

होस्ट प्रमाणपत्रभित्र के हुन्छ

होस्ट प्रमाणपत्रले कुञ्जीसँग फाइलको नामभन्दा बढी कुरा बाँध्छ। यसले नोडको overlay ठेगाना, नाम र समूह सदस्यता बोक्छ, सबै हस्ताक्षरित, ताकि साथीले स्वीकार गर्ने वा नगर्ने निर्णय गर्न सकोस्। त्यसैले होस्टको नाम बदल्नु भनेको कन्फिगरेसनको एउटा लाइन सम्पादन गर्नु होइन, नयाँ प्रमाणपत्र जारी गर्नु हो।

nebula-cert print -path host.crt ले वास्तवमा के जारी भयो देखाउँछ। प्रमाणपत्रमा तपाईंले चाहेको ठेगाना छ भनी मान्नुअघि यो पढ्नुहोस्।

पुनः लोड गर्नु सधैं पर्याप्त हुँदैन

केही PKI सेटिङ सिग्नलमा पुनः लोड हुन्छन्, केही हुँदैनन्। जसको overlay ठेगाना बदलिएको छ त्यो प्रमाणपत्र पुनः लोड होइन, प्रक्रिया पुनः सुरु गर्नुपर्ने परम्परागत अवस्था हो।

कन्फिगरेसन फाइलले भनेका बाटो मात्र होइन, चलिरहेको प्रक्रियाले वास्तवमा खोलेका बाटो पुष्टि गर्नुहोस्। त्यसपछि एउटा परिचयपत्र बदल्नुहोस्, जडान र लग जाँच्नुहोस्, र त्यसपछि मात्र अर्कोमा जानुहोस्। पुरानो प्रमाणपत्र स्मृतिमा रहँदै सफल देखिने पुनः लोडले रुटिङ समस्याजस्तो देखिने बेमेल उत्पन्न गर्छ। पुनः सुरु गर्नु सस्तो छ; आधा overlay ले अझै पुरानै तरिकाले देख्ने पहिचान डिबग गर्नु सस्तो छैन।

पहिचान हटाउन ब्लकलिस्ट चाहिन्छ

हराएको वा खुलासा भएको परिचयपत्र बदल्ने कामका दुई आधा हुन्छन्। नयाँ प्रमाणपत्रले पहुँच फर्काउँछ, र पुरानो पहिचान स्वीकारिन छोड्नुपर्छ। यी छुट्टाछुट्टै कार्य हुन्, र पहिलो मात्र गर्दा जोखिममा परेको परिचयपत्र वैध रहन्छ।

ब्लकलिस्ट त्यस्तो फाइल हो जुन तपाईंले होस्टहरूमा वितरण गर्नुहुन्छ, lighthouse आफैंले पठाउने कुरा होइन। आज अफलाइन भएकाहरूसमेत हरेक नोडसम्म यो कसरी पुग्छ योजना बनाउनुहोस्, र कुन औंलाछाप ब्लक गर्नुभयो लेख्नुहोस्। जारी गर्ने मेसिनमा कुञ्जी घुमाउनुहोस् र नयाँ प्रमाणपत्रको विवरण होस्ट रेकर्डसँगै राख्नुहोस्। तपाईंले सम्पादन गरेको मेसिनमा मात्र रहेको रद्दीकरण रद्दीकरण होइन।