د Nebula سند بیا بارول IP نه بدل کړ: لامل یې دا دی
بیا بارول د کوربه اعتبارنامه یوازې هغه وخت بیا لولي چې overlay پته ورته پاتې شي. د پتې بدلول بیا پیل او د شبکې بدلون مانا لري، نه بیا هڅه.
تاسو د بلې overlay پتې سره نوی کوربه سند صادروئ، هغه د زاړه فایل په سر کاپي کوئ، بیا بارول لېږئ، او کوربه بیا هم په هغه پته ځواب ورکوي چې مخکې یې درلوده. طبیعي غبرګون دا دی چې فکر وکړئ بیا بارول ناکام شو یا غلط فایل ولوستل شو. معمولاً هیڅ یو نه دی پېښ شوی: روان بهیر په قصد سره هغه هویت وساته چې دمخه یې درلود، ځکه چې بدلون هغه څه بدل کړل چې بیا بارول یې نشي پلي کولی.
د Nebula د PKI بیا بارولو ملاتړ په همدې حد سره مستند شوی، او کله چې همدا اسناد وښيي چې بیا بارول د نورو بدلونونو لپاره کار کوي، له لاسه ورکول یې اسانه دي.
بیا بارول په واقعیت کې څه بیا لولي
د کوربه سند یوازې د SSH کیلي غوندې اعتبارنامه نه ده. دا overlay پته، د کوربه نوم، د ګروپ غړیتوب او د اعتبار موده لري، او دا ټول د CA لاسلیک سره یوځای تړلي دي. ډیمون هغه لاسلیک شوې منځپانګه کاروي ترڅو پرېکړه وکړي چې ځان څنګه وړاندې کړي او کوم قواعد پرې پلي کېږي.
بیا بارول بهیر ته اجازه ورکوي چې نوی شوی اعتبارنامه پرته له دې چې خپل تونلونه له لاسه ورکړي واخلي، چې د منظمې څرخېدلو لپاره ارزښتناکه ده: هماغه پته، هماغه نوم، هماغه ګروپونه، وروسته پای. محدودیت دا دی چې هویت باید هماغه پاتې شي. overlay پته بدله کړئ او د بیا بارولو لار یې نشي پلي کولی، ځکه پته د هغه څه برخه ده چې روانه نسخه دمخه ژمنه ورسره کړې ده.
نو هغه چلند چې تاسو لیدلی هماغه مستند محدودیت دی چې خپله دنده ترسره کوي، نه خاموشه ناکامي. په ډیسک کې فایل نوی دی؛ په حافظه کې هویت زوړ دی؛ بهیر پرته له بیا پیل کولو د دې توپیر د سمون لپاره ملاتړ شوې لار نه لري.
پته، نوم او ګروپونه یو هویت دي
ګټوره ده چې سند ته د یوې یونې ریکارډ په توګه وګورو، نه د جلا سمون وړ ساحو ټولګې په توګه. د پتې خوځول د غوراوي بدلولو غوندې نه دي، ځکه پته د نورو کوربه وګړو په ترتیبونو، د خدمتونو په تړونو او د هویت پر ضد لیکل شوو تګلارو کې ښکاري.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
ګروپونه خپل جلا کرښې ته وړ دي، ځکه دوی د همدې ګډوډۍ غږېدلې بڼه رامنځته کوي. هغه کوربه چې پته خپله کوي خو ګروپونه بدلوي، کولای شي له بیا پیل وروسته بلو خدمتونو ته ورسېږي، او هغه ازموینه چې یوازې زړې پتې ته ping کوي به بشپړ روغ ښکاره شي، خو لاندې یې د لاسرسي پرېکړې بدلې شوې وي. یوازې لاسرسی نه، د یوې قاعدې لاندې یو خدمت وګورئ. د تونل تایید او د تګلارې تایید ترمنځ توپیر همدا دی.
بار شوی سند له بدلون سره پرتله کړئ
له دې مخکې چې فکر وکړئ ډیمون فایل له پامه غورځولی، دواړه ولولئ. هغه سند چې غواړئ یې بار کړئ چاپ کړئ او هغه ساحې تایید کړئ چې فکر کوئ بدلې کړې مو دي، بیا تایید کړئ چې روان ترتیب هماغې لارې ته اشاره کوي، نه بل چېرته پروت کاپي ته.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)د بهیر ارګومانټونه د خلکو د تمې څخه ډېر مهم دي. هغه واحد چې -config /etc/nebula/config.yml تېر کوي، د هماغه فایل pki.cert ننوتنه لولي، او په لنډمهاله پوښۍ کې نصب شوی سند پر هیڅ شي اغېز نه کوي. په روانه کمانډ کرښه کې لار وګورئ، نه هغه لار چې تاسو تعقیب کړې وه. که دواړه توپیر ولري، تاسو پرته له دې چې سند ته لاس ووهئ ستونزه موندلې ده.
که نوی سند بله پته ولري او بهیر زړه ساتلې وي، اوس تاسو معما نه، بلکې تشریح لرئ. که منلې وي یې بیا پیل کړئ، او د پتې بدلون د ناڅاپي نه، بلکې د پلان شوي شبکې بدلون په توګه وګورئ.
د پتې بدلون د شبکې بدلون دی
هغسې پلان یې کړئ لکه چې د ماشین خوځولو پلان کوئ. نورو کوربه وګړو ممکن زړه پته په خپل ترتیب کې ټینګه کړې وي، خدمتونه ممکن په صراحت سره ورسره وتړل شي، او د اور دېوال قواعد ممکن پر ضد یې لیکل شوي وي. د سند بدلول کوربه خوځوي، او د کوربه خوځول په نورو ځایونو کې انګېرنې باطلوي.
د دې کولو پر مهال دوهم مدیریتي لار پرانیستې وساتئ، ځکه کېدای شي هماغه overlay اړیکه وي چې تاسو یې منځپانګه کوئ. پر هغه تونل چې غواړئ مات کړئ دا کار کول د پنځو دقیقو بدلون د ځایي لیدنې بدلولو کلاسیکه لار ده.
ایا بیا پیل منلې دی که نه، په دې پورې اړه لري چې کوربه څه کوي، او دا تخنیکي نه، بلکې مهالویش پوښتنه ده. هغه څه چې اختیاري نه دي دا دي چې د بیا بارولو پنځم ځل لېږلو پرځای د بیا پیل اړتیا ومنل شي.
زاړه اعتبارنامه جلا تقاعد کړئ
په یوه ماشین کې بدلون نصبول هر peer ته پریږدي چې لا هم هغه اعتبارنامې ته باور ولري چې دمخه یې پېژني. که د بدلون لامل افشا وه، زوړ هویت باید د باور یا بلاک لیست پروسې له لارې تقاعد شي ترڅو peerونه یې واقعاً رد کړي.
دا یوه جلا ګام دی چې خپله تصدیق لري: له بل کوربه څخه تصدیق کړئ چې زوړ هویت نور کار نه کوي، پرځای دې چې فکر وکړئ نوي فایل کار سرته ورساوه. د Nebula د PKI ترتیب اسناد هغه تنظیمات چې بیا بار کېدای شي او همدا دلته تشریح شوې پتې محدودیت رانغاړي، او د تولیدي هر څه څرخولو مخکې یې بشپړ لوستل ارزښت لري.