Zoznam blokovaných Nebula: distribuujte ho, maják to neurobí

Vynucovanie zoznamu blokovaných je vlastnosť hostiteľa, ktorý kontrolu vykonáva, nie certifikátu, ktorý sa kontroluje. Stroj, ktorý záznam nikdy nenačítal, naďalej prijíma identitu a nič v handshaku vás neupozorní, že dvaja partneri si nesúhlasia. Lacné a drahé riešenie pre jeden prezradený prihlasovací údaj sa líšia dosahom a reverzibilitou, preto vyberajte vedome. Nasledujúce časti opisujú, čo záznam robí, kam sa musí doručiť, kedy je rotácia lepšou odpoveďou a ako dokázať, že jedna z nich fungovala.

Čo záznam v zozname blokovaných skutočne robí

Konfigurácia PKI uvádza odtlačky, ktoré musí hostiteľ odmietnuť, aj keď je certifikát platne podpísaný a neexpirovaný. Vynucovanie prebieha lokálne, voči zoznamu, ktorý hostiteľ načítal pri štarte služby. Nič zo záznamu necestuje vnútri certifikátu, takže partner nemôže zistiť rozhodnutie z prihlasovacieho údaja, ktorý sa mu predkladá. Preto tu maják nehrá žiadnu úlohu: majáky pomáhajú partnerom nájsť sa a preposielajú prevádzku tam, kde priama cesta zlyháva. Sú vrstvou objavovania a preposielania, nie kanálom distribúcie konfigurácie.

Aktualizácia jedného stroja mení rozhodnutia tohto stroja a každého ostatného partnera necháva presne tak, ako bol. Partner, ktorý dôveruje podpisujúcej autorite a záznam nikdy nevidel, nemá dôvod nič odmietnuť. Testovanie odvolania sledovaním majáka teda nič nedokazuje, pretože komponent, ktorý sledujete, nikdy nebol požiadaný, aby zoznam vynucoval.

Identifikujte certifikát, nie zariadenie

Použite odtlačok prihlasovacieho údaja, ktorý chcete odmietnuť, pretože názov hostiteľa, označenie zariadenia alebo aktuálna adresa označuje dnes jeden stroj a budúci mesiac niečo iné. Žiadny z týchto reťazcov sa v zozname blokovaných neobjavuje a žiadny neprežije preinštalovanie. Vytlačte certifikát, prečítajte odtlačok a overte, že patrí vyraďovanému prihlasovaciemu údaju, nie jeho náhrade. Čítať oba súbory je dôležité, keď je náhrada už vydaná, pretože starý a nový certifikát môžu zdieľať názov a líšiť sa vo všetkých ostatných poliach.

Zaznamenajte, ktorý odtlačok bol zablokovaný a kedy, aby neskorší audit oddelil dokončenú zmenu od zamýšľanej. Všimnite si aj to, čo záznam nerobí: neruší platnosť podpisujúcej autority a nebráni tomu, aby bol budúci certifikát tejto autority prijatý. Zablokovanie certifikátu hostiteľa a nahradenie kompromitovanej autority sú rôzne operácie s rôznymi dôsledkami.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Distribuujte ho ako akúkoľvek inú konfiguráciu

Berte zoznam ako konfiguráciu s mechanizmom doručenia, nie ako súbor, ktorý niekto upraví, keď si spomenie. Zasielajte celý zoznam, nie delta, aby hostiteľ, ktorý zmeškal predchádzajúcu aktualizáciu, konvergoval namiesto hromadenia medzier. Dokumentácia PKI Nebula odporúča presne to a radu sa vyplatí nasledovať doslova, nie ju preformulovať na manuálny proces.

Potvrďte, že bežiaca služba obsah znovu načítala, nielen že sa zmenil súbor na disku. Sledujte, ktoré stroje zmenu použili, a udržujte zoznam nevybavených viditeľný, kým nie je prázdny. Laptop zavretý na týždeň je partner, ktorý rozhodnutie nikdy nespoznal, a môže sa znova pripojiť zo siete, ktorú nikto nečakal. Zaznamenajte spôsob doručenia vedľa odtlačku, pretože ďalšie odvolanie ho znovu použije a pri prvom sa proces ladí.

Zoznam blokovaných alebo rotácia autority

Záznam v zozname blokovaných je úzky: jedna identita prestane fungovať a všetko ostatné pokračuje. Rotácia podpisujúcej autority je široká: každý ňou vydaný certifikát sa stane nedôveryhodným a každý hostiteľ potrebuje nový prihlasovací údaj a novú kotvu dôvery. Prvé je cielené odvolanie a druhé je migrácia, takže si vyžadujú rôzne schválenia a rôzne okná údržby. Tabuľka stavia obe vedľa seba podľa dosahu, námahy a reverzibility.

Stratený laptop si vyžaduje zoznam blokovaných, pretože dopad je jedna identita a zmena je reverzibilná, ak ste zablokovali nesprávny odtlačok. Prezradený kľúč autority si vyžaduje rotáciu, pretože zoznam blokovaných nepomôže pri certifikátoch, ktoré ešte neboli vydané. Medzi týmito extrémami sa opýtajte, či prezradený prihlasovací údaj mohol podpísať niečo iné, keďže autorita je viac ako jeden hostiteľ.

Zapíšte rozhodnutie pred incidentom, pretože výber pod tlakom má tendenciu predvolene priniesť širokú možnosť. Akúkoľvek cestu si vyberiete, zostávajúca pracovná položka je rovnaká: dokázať, že vynucovanie prebehlo na hostiteľoch, na ktorých záleží. Práve zaznamenanie odtlačku a dátumu v tej chvíli umožní dôkaz neskôr.

Overte odmietnutie a zvyšok

Pripojte sa z zablokovanej identity a potvrďte zlyhanie, potom sa pripojte z autorizovaného partnera a potvrďte, že stále dosiahne, čo potrebuje. Zmena, ktorá pokazí všetkých, nie je úspešné odvolanie. Urobte obe z nových relácií, pretože stav v pamäti cache môže výsledok skryť.

Skontrolujte, či sa zavedená relácia po zmene ukončí, a poznamenajte správanie pre svoju verziu a konfiguráciu namiesto predpokladu, že úprava súboru niečo ukončí. Voľba disconnect_invalid pokrýva klientov, ktorých certifikáty sú expirované alebo neplatné, preto predtým, než sa na ňu spoľahnete, overte, ako sa vzťahuje na váš prípad. Ak je okamžité ukončenie požiadavkou, otestujte ho konkrétne a zaznamenajte, čo ste pozorovali. Potom test zopakujte po reštarte, pretože hostiteľ, ktorý zoznam vynucuje len do ďalšieho reštartu, má problém s doručením, ktorý prvý test skryl. Zdravý maják vám povie, že objavovanie funguje, nie že nejaký partner použil politiku.