Nebula are nevoie de trei fișiere: CA, certificatul gazdei și cheia gazdei

Dacă dai cuiva un director Nebula, de obicei copiază tot, inclusiv fișierul care nu ar trebui să părăsească niciodată stația ta de lucru. Confuzia este de înțeles, pentru că cele trei fișiere din blocul PKI al unei gazde se aseamănă și două dintre ele sunt certificate. Fiecare răspunde la o întrebare diferită, și doar două aparțin nodului. Sortează-le după rol înainte de a copia ceva.

Trei fișiere, trei lucruri diferite

Certificatul CA este o ancoră de încredere: îi spune unei gazde în ce autorități să aibă încredere atunci când o altă gazdă își prezintă identitatea. Certificatul gazdei este acreditarea nodului însuși, semnată de acea autoritate. Cheia gazdei este jumătatea privată corespunzătoare și aparține exact unei singure mașini. Un nod cu certificatul CA și cu propria pereche se poate alătura overlay-ului și poate dovedi cine este. Un nod cu cheia altcuiva se poate de asemenea da drept acea persoană, iar aceasta este defecțiunea pe care această configurație există să o împiedice.

Copierea unui director de gazdă funcțional pe o a doua mașină nu este, așadar, o scurtătură. Este o identitate duplicată cu un rezultat previzibil.

Cheia de semnare nu călătorește niciodată

Cheia de semnare a CA nu face parte din nicio configurație de gazdă. Ea creează identități noi, iar cine o deține poate emite un certificat pentru orice adresă overlay și orice grup. Omologii au nevoie doar de certificatul CA public pentru a verifica semnăturile, așa că jumătatea privată nu are niciun rol pe un client. Păstreaz-o pe mașina unde se emit certificatele și tratează o copie accidentală ca pe un incident, nu ca pe o comoditate.

Dacă mai multe persoane trebuie să emită certificate, dă-le un proces în loc de o copie a cheii. O cheie de semnare partajată pe un laptop este o autoritate pe care nimeni nu o poate audita sau revoca.

Ce se află într-un certificat de gazdă

Un certificat de gazdă leagă de o cheie mai mult decât un nume de fișier. Poartă adresa overlay a nodului, numele și apartenența la grup, toate semnate pentru ca un omolog să poată decide dacă îl acceptă. De aceea redenumirea unei gazde înseamnă emiterea unui certificat nou, nu editarea unei linii de configurare.

nebula-cert print -path host.crt arată ce s-a emis efectiv. Citește-l înainte de a presupune că certificatul poartă adresa pe care ai dorit-o.

Reîncărcarea nu este întotdeauna suficientă

Unele setări PKI se reîncarcă la un semnal, altele nu. Un certificat a cărui adresă overlay s-a schimbat este cazul clasic care necesită repornirea procesului, nu o reîncărcare.

Verifică ce căi a deschis efectiv procesul care rulează, nu doar ce căi numește fișierul de configurare. Apoi schimbă o acreditare, verifică conectivitatea și jurnalele, și abia după aceea ocupă-te de următoarea. O reîncărcare care pare reușită în timp ce certificatul vechi rămâne în memorie produce o nepotrivire care arată ca o problemă de rutare. Repornirea este ieftină; depanarea unei identități pe care jumătate din overlay o vede încă în modul vechi nu este.

Eliminarea unei identități necesită o listă de blocare

Înlocuirea unei acreditări pierdute sau expuse are două jumătăți. Certificatul nou restabilește accesul, iar identitatea veche trebuie să înceteze să mai fie acceptată. Sunt operațiuni separate, iar efectuarea doar a primeia lasă acreditarea compromisă validă.

Lista de blocare este un fișier pe care îl distribui gazdelor, nu ceva ce un lighthouse trimite de la sine. Planifică modul în care ajunge la fiecare nod, inclusiv la cele offline astăzi, și notează ce amprente ai blocat. Rotește cheia pe mașina emitentă și păstrează detaliile certificatului nou împreună cu înregistrarea gazdei. O revocare care există doar pe mașina pe care ai editat-o nu este o revocare.