Nebula potrebuje tri súbory: CA, certifikát hostiteľa a kľúč hostiteľa

Ak niekomu dáte adresár Nebula, zvyčajne skopíruje všetko vrátane súboru, ktorý by nikdy nemal opustiť vašu pracovnú stanicu. Zmätok je pochopiteľný, pretože tri súbory v PKI bloku hostiteľa vyzerajú podobne a dva z nich sú certifikáty. Každý odpovedá na inú otázku a len dva patria na uzol. Pred kopírovaním čohokoľvek ich roztrieďte podľa úlohy.

Tri súbory, tri rôzne úlohy

Certifikát CA je kotva dôvery: hovorí hostiteľovi, ktorým autoritám veriť, keď iný hostiteľ predloží svoju identitu. Certifikát hostiteľa je vlastný preukaz uzla podpísaný touto autoritou. Kľúč hostiteľa je zodpovedajúca súkromná polovica a patrí presne jednému stroju. Uzol s certifikátom CA a vlastným párom sa môže pripojiť k overlayu a dokázať, kto je. Uzol s cudzím kľúčom sa tiež môže vydávať za onú osobu, a to je zlyhanie, ktorému má toto usporiadanie zabrániť.

Kopírovanie fungujúceho adresára hostiteľa na druhý stroj preto nie je skratka. Je to zdvojená identita s predvídateľným výsledkom.

Podpisový kľúč nikdy necestuje

Podpisový kľúč CA nie je súčasťou žiadnej konfigurácie hostiteľa. Vytvára nové identity a ten, kto ho má, môže vydať certifikát pre ľubovoľnú overlay adresu a ľubovoľnú skupinu. Protivníkom na overenie podpisov stačí verejný certifikát CA, takže súkromná polovica na klientovi nemá vôbec žiadnu úlohu. Uchovávajte ho na stroji, kde sa certifikáty vydávajú, a náhodnú kópiu berte ako incident, nie ako pohodlie.

Ak má certifikáty vydávať viac ľudí, dajte im proces namiesto kópie kľúča. Zdieľaný podpisový kľúč na notebooku je autorita, ktorú nikto nemôže auditovať ani odvolať.

Čo je vo vnútri certifikátu hostiteľa

Certifikát hostiteľa viaže ku kľúču viac než len názov súboru. Nesie overlay adresu uzla, jeho meno a členstvo v skupine, všetko podpísané, aby sa protivník mohol rozhodnúť, či ho prijme. Preto premenovanie hostiteľa znamená vydanie nového certifikátu, nie úpravu riadku konfigurácie.

nebula-cert print -path host.crt ukazuje, čo sa skutočne vydalo. Prečítajte si ho, skôr než budete predpokladať, že certifikát nesie adresu, ktorú ste zamýšľali.

Opätovné načítanie nie vždy stačí

Niektoré nastavenia PKI sa načítajú na signál, iné nie. Certifikát, ktorého overlay adresa sa zmenila je klasický prípad, ktorý vyžaduje reštart procesu, nie opätovné načítanie.

Overte, ktoré cesty bežiaci proces skutočne otvoril, nielen ktoré cesty uvádza konfiguračný súbor. Potom zmeňte jedno poverenie, overte konektivitu a logy, a až potom sa pustite do ďalšieho. Opätovné načítanie, ktoré vyzerá úspešne, kým starý certifikát zostáva v pamäti, vytvára nezhodu, ktorá vyzerá ako problém smerovania. Reštart je lacný; ladenie identity, ktorú polovica overlaya ešte vidí po starom, lacné nie je.

Odstránenie identity vyžaduje zoznam blokovaných

Nahradenie stratenej alebo prezradenej legitimácie má dve polovice. Nový certifikát obnoví prístup a stará identita sa musí prestať prijímať. Sú to oddelené operácie a vykonanie len prvej nechá kompromitovanú legitimáciu platnou.

Zoznam blokovaných je súbor, ktorý rozdávate hostiteľom, nie niečo, čo lighthouse rozposiela sám. Naplánujte, ako sa dostane ku každému uzlu, vrátane tých, ktoré sú dnes offline, a zaznamenajte, ktoré odtlačky ste zablokovali. Otočte kľúč na stroji, ktorý vydáva certifikáty, a údaje o novom certifikáte uchovajte pri zázname hostiteľa. Odvolanie, ktoré existuje len na stroji, ktorý ste upravili, nie je odvolanie.