Nebula ਨੂੰ ਤਿੰਨ ਫ਼ਾਈਲਾਂ ਚਾਹੀਦੀਆਂ ਹਨ: CA, ਹੋਸਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਹੋਸਟ ਕੁੰਜੀ

ਕਿਸੇ ਨੂੰ Nebula ਡਾਇਰੈਕਟਰੀ ਦਿਓ ਤਾਂ ਉਹ ਆਮ ਤੌਰ ਉੱਤੇ ਸਭ ਕੁਝ ਕਾਪੀ ਕਰ ਲੈਂਦਾ ਹੈ, ਉਹ ਫ਼ਾਈਲ ਵੀ ਜਿਸ ਨੂੰ ਕਦੇ ਤੁਹਾਡੇ ਵਰਕਸਟੇਸ਼ਨ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਜਾਣਾ ਚਾਹੀਦਾ। ਉਲਝਣ ਸਮਝੀ ਜਾ ਸਕਦੀ ਹੈ, ਕਿਉਂਕਿ ਹੋਸਟ ਦੇ PKI ਬਲਾਕ ਵਿੱਚ ਤਿੰਨੇ ਫ਼ਾਈਲਾਂ ਇੱਕੋ ਜਿਹੀਆਂ ਦਿਸਦੀਆਂ ਹਨ ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਦੋ ਸਰਟੀਫਿਕੇਟ ਹਨ। ਹਰ ਇੱਕ ਵੱਖਰੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਦੋ ਹੀ ਨੋਡ ਉੱਤੇ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ। ਕੁਝ ਵੀ ਕਾਪੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਉਨ੍ਹਾਂ ਨੂੰ ਭੂਮਿਕਾ ਅਨੁਸਾਰ ਵੱਖ ਕਰੋ।

ਤਿੰਨ ਫ਼ਾਈਲਾਂ, ਤਿੰਨ ਵੱਖਰੇ ਕੰਮ

CA ਸਰਟੀਫਿਕੇਟ ਭਰੋਸੇ ਦਾ ਲੰਗਰ ਹੈ: ਜਦੋਂ ਕੋਈ ਦੂਜਾ ਹੋਸਟ ਆਪਣੀ ਪਛਾਣ ਪੇਸ਼ ਕਰਦਾ ਹੈ ਤਾਂ ਇਹ ਹੋਸਟ ਨੂੰ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਅਧਿਕਾਰੀਆਂ ਉੱਤੇ ਭਰੋਸਾ ਕਰਨਾ ਹੈ। ਹੋਸਟ ਸਰਟੀਫਿਕੇਟ ਨੋਡ ਦੀ ਆਪਣੀ ਪਛਾਣ-ਪੱਤਰ ਹੈ, ਜਿਸ ਉੱਤੇ ਉਹੀ ਅਧਿਕਾਰੀ ਦਸਤਖ਼ਤ ਕਰਦੀ ਹੈ। ਹੋਸਟ ਕੁੰਜੀ ਉਸ ਦਾ ਮੇਲ ਖਾਂਦਾ ਪ੍ਰਾਈਵੇਟ ਅੱਧਾ ਹਿੱਸਾ ਹੈ, ਅਤੇ ਉਹ ਠੀਕ ਇੱਕ ਮਸ਼ੀਨ ਦੀ ਹੈ। CA ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਆਪਣੀ ਜੋੜੀ ਵਾਲਾ ਨੋਡ overlay ਵਿੱਚ ਸ਼ਾਮਲ ਹੋ ਕੇ ਸਾਬਤ ਕਰ ਸਕਦਾ ਹੈ ਕਿ ਉਹ ਕੌਣ ਹੈ। ਕਿਸੇ ਹੋਰ ਦੀ ਕੁੰਜੀ ਵਾਲਾ ਨੋਡ ਵੀ ਆਪਣੇ ਆਪ ਨੂੰ ਉਹੀ ਵਿਅਕਤੀ ਦੱਸ ਸਕਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਉਹ ਗਲਤੀ ਹੈ ਜਿਸ ਨੂੰ ਰੋਕਣ ਲਈ ਇਹ ਬਣਤਰ ਹੈ।

ਇਸ ਲਈ ਚੱਲਦੀ ਹੋਸਟ ਡਾਇਰੈਕਟਰੀ ਨੂੰ ਦੂਜੀ ਮਸ਼ੀਨ ਉੱਤੇ ਕਾਪੀ ਕਰਨਾ ਕੋਈ ਛੋਟਾ ਰਾਹ ਨਹੀਂ ਹੈ। ਇਹ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਯੋਗ ਨਤੀਜੇ ਵਾਲੀ ਨਕਲੀ ਪਛਾਣ ਹੈ।

ਦਸਤਖ਼ਤ ਕਰਨ ਵਾਲੀ ਕੁੰਜੀ ਕਦੇ ਸਫ਼ਰ ਨਹੀਂ ਕਰਦੀ

CA ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਕਿਸੇ ਵੀ ਹੋਸਟ ਸੰਰਚਨਾ ਦਾ ਹਿੱਸਾ ਨਹੀਂ ਹੈ। ਇਹ ਨਵੀਆਂ ਪਛਾਣਾਂ ਬਣਾਉਂਦੀ ਹੈ, ਅਤੇ ਜਿਸ ਕੋਲ ਇਹ ਹੈ ਉਹ ਕਿਸੇ ਵੀ overlay ਪਤੇ ਅਤੇ ਕਿਸੇ ਵੀ ਸਮੂਹ ਲਈ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰ ਸਕਦਾ ਹੈ। ਸਾਥੀਆਂ ਨੂੰ ਦਸਤਖ਼ਤ ਜਾਂਚਣ ਲਈ ਸਿਰਫ਼ ਜਨਤਕ CA ਸਰਟੀਫਿਕੇਟ ਚਾਹੀਦਾ ਹੈ, ਇਸ ਲਈ ਕਲਾਇੰਟ ਉੱਤੇ ਪ੍ਰਾਈਵੇਟ ਅੱਧ ਦੀ ਕੋਈ ਭੂਮਿਕਾ ਨਹੀਂ ਹੈ। ਇਸ ਨੂੰ ਉਸੇ ਮਸ਼ੀਨ ਉੱਤੇ ਰੱਖੋ ਜਿੱਥੇ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਅਚਾਨਕ ਬਣੀ ਕਾਪੀ ਨੂੰ ਸਹੂਲਤ ਨਹੀਂ, ਘਟਨਾ ਮੰਨੋ।

ਜੇ ਕਈ ਲੋਕਾਂ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨੇ ਪੈਣ ਤਾਂ ਉਨ੍ਹਾਂ ਨੂੰ ਕੁੰਜੀ ਦੀ ਕਾਪੀ ਨਹੀਂ, ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਦਿਓ। ਲੈਪਟਾਪ ਉੱਤੇ ਸਾਂਝੀ ਦਸਤਖ਼ਤ ਕੁੰਜੀ ਅਜਿਹਾ ਅਧਿਕਾਰ ਹੈ ਜਿਸ ਦੀ ਕੋਈ ਜਾਂਚ ਜਾਂ ਰੱਦ ਨਹੀਂ ਕਰ ਸਕਦਾ।

ਹੋਸਟ ਸਰਟੀਫਿਕੇਟ ਦੇ ਅੰਦਰ ਕੀ ਹੁੰਦਾ ਹੈ

ਹੋਸਟ ਸਰਟੀਫਿਕੇਟ ਕੁੰਜੀ ਨਾਲ ਫ਼ਾਈਲ ਦੇ ਨਾਂ ਤੋਂ ਵੱਧ ਜੋੜਦਾ ਹੈ। ਇਹ ਨੋਡ ਦਾ overlay ਪਤਾ, ਉਸ ਦਾ ਨਾਂ ਅਤੇ ਸਮੂਹ ਮੈਂਬਰਸ਼ਿਪ ਰੱਖਦਾ ਹੈ, ਸਭ ਦਸਤਖ਼ਤ ਕੀਤੇ, ਤਾਂ ਜੋ ਸਾਥੀ ਤੈਅ ਕਰ ਸਕੇ ਕਿ ਇਸ ਨੂੰ ਸਵੀਕਾਰਨਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਇਸੇ ਲਈ ਹੋਸਟ ਦਾ ਨਾਂ ਬਦਲਣਾ ਸੰਰਚਨਾ ਦੀ ਇੱਕ ਲਾਈਨ ਸੋਧਣਾ ਨਹੀਂ, ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨਾ ਹੈ।

nebula-cert print -path host.crt ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਕੀ ਜਾਰੀ ਹੋਇਆ। ਇਹ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਤੁਹਾਡਾ ਚਾਹਿਆ ਪਤਾ ਹੈ, ਇਸ ਨੂੰ ਪੜ੍ਹੋ।

ਮੁੜ ਲੋਡ ਕਰਨਾ ਹਮੇਸ਼ਾ ਕਾਫ਼ੀ ਨਹੀਂ ਹੁੰਦਾ

ਕੁਝ PKI ਸੈਟਿੰਗਾਂ ਸਿਗਨਲ ਉੱਤੇ ਮੁੜ ਲੋਡ ਹੁੰਦੀਆਂ ਹਨ, ਕੁਝ ਨਹੀਂ। ਜਿਸ ਸਰਟੀਫਿਕੇਟ ਦਾ overlay ਪਤਾ ਬਦਲ ਗਿਆ ਹੈ ਉਹੀ ਕਲਾਸਿਕ ਹਾਲਤ ਹੈ ਜਿਸ ਵਿੱਚ ਮੁੜ ਲੋਡ ਕਰਨ ਦੀ ਥਾਂ ਪ੍ਰਕਿਰਿਆ ਮੁੜ ਸ਼ੁਰੂ ਕਰਨੀ ਪੈਂਦੀ ਹੈ।

ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਚੱਲ ਰਹੀ ਪ੍ਰਕਿਰਿਆ ਨੇ ਅਸਲ ਵਿੱਚ ਕਿਹੜੇ ਪਾਥ ਖੋਲ੍ਹੇ, ਸਿਰਫ਼ ਉਹ ਨਹੀਂ ਜਿਨ੍ਹਾਂ ਦਾ ਨਾਂ ਸੰਰਚਨਾ ਫ਼ਾਈਲ ਲੈਂਦੀ ਹੈ। ਫਿਰ ਇੱਕ ਪਛਾਣ-ਪੱਤਰ ਬਦਲੋ, ਕਨੈਕਟੀਵਿਟੀ ਅਤੇ ਲੌਗ ਜਾਂਚੋ, ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਹੀ ਅਗਲੇ ਨੂੰ ਛੇੜੋ। ਪੁਰਾਣਾ ਸਰਟੀਫਿਕੇਟ ਮੈਮਰੀ ਵਿੱਚ ਰਹਿੰਦਿਆਂ ਸਫਲ ਦਿਸਣ ਵਾਲਾ ਮੁੜ ਲੋਡ ਅਜਿਹੀ ਬੇਮੇਲ ਪੈਦਾ ਕਰਦਾ ਹੈ ਜੋ ਰਾਊਟਿੰਗ ਸਮੱਸਿਆ ਵਰਗੀ ਲੱਗਦੀ ਹੈ। ਮੁੜ ਸ਼ੁਰੂ ਕਰਨਾ ਸਸਤਾ ਹੈ; ਅੱਧੇ overlay ਨੂੰ ਅਜੇ ਵੀ ਪੁਰਾਣੇ ਢੰਗ ਨਾਲ ਦਿਸਣ ਵਾਲੀ ਪਛਾਣ ਡੀਬੱਗ ਕਰਨਾ ਸਸਤਾ ਨਹੀਂ।

ਪਛਾਣ ਹਟਾਉਣ ਲਈ ਬਲਾਕਲਿਸਟ ਚਾਹੀਦੀ ਹੈ

ਗੁੰਮ ਜਾਂ ਜ਼ਾਹਰ ਹੋਈ ਪਛਾਣ-ਪੱਤਰ ਬਦਲਣ ਦੇ ਦੋ ਅੱਧ ਹਨ। ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਪਹੁੰਚ ਬਹਾਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਪੁਰਾਣੀ ਪਛਾਣ ਦਾ ਸਵੀਕਾਰ ਹੋਣਾ ਬੰਦ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਵੱਖਰੀਆਂ ਕਾਰਵਾਈਆਂ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਪਹਿਲੀ ਕਰਨ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਪਛਾਣ-ਪੱਤਰ ਵੈਧ ਰਹਿੰਦਾ ਹੈ।

ਬਲਾਕਲਿਸਟ ਉਹ ਫ਼ਾਈਲ ਹੈ ਜੋ ਤੁਸੀਂ ਹੋਸਟਾਂ ਵਿੱਚ ਵੰਡਦੇ ਹੋ, ਇਹ ਨਹੀਂ ਕਿ lighthouse ਆਪਣੇ ਆਪ ਭੇਜੇ। ਯੋਜਨਾ ਬਣਾਓ ਕਿ ਇਹ ਹਰ ਨੋਡ ਤੱਕ ਕਿਵੇਂ ਪਹੁੰਚੇਗੀ, ਉਹ ਵੀ ਜੋ ਅੱਜ ਔਫਲਾਈਨ ਹਨ, ਅਤੇ ਦਰਜ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜੇ ਫਿੰਗਰਪ੍ਰਿੰਟ ਬਲਾਕ ਕੀਤੇ। ਜਾਰੀ ਕਰਨ ਵਾਲੀ ਮਸ਼ੀਨ ਉੱਤੇ ਕੁੰਜੀ ਘੁਮਾਓ ਅਤੇ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਦਾ ਵੇਰਵਾ ਹੋਸਟ ਰਿਕਾਰਡ ਨਾਲ ਰੱਖੋ। ਸਿਰਫ਼ ਤੁਹਾਡੇ ਸੋਧੇ ਮਸ਼ੀਨ ਉੱਤੇ ਮੌਜੂਦ ਰੱਦੀਕਰਨ ਰੱਦੀਕਰਨ ਨਹੀਂ ਹੈ।