Nebula seznam blokiranih: razdelite ga sami, svetilnik tega ne bo

Uveljavljanje seznama blokiranih je lastnost gostitelja, ki preverja, ne potrdila, ki se preverja. Stroj, ki vnosa nikoli ni naložil, še naprej sprejema identiteto, in nič v rokovanju vas ne opozori, da se dva partnerja ne strinjata. Poceni in draga rešitev za eno razkrito poverilnico se razlikujeta po dosegu in po povratnosti, zato izbirajte premišljeno. Spodnji razdelki opisujejo, kaj vnos naredi, kam ga je treba dostaviti, kdaj je rotacija boljši odgovor in kako dokazati, da je ena od obeh delovala.

Kaj vnos na seznamu blokiranih dejansko naredi

Konfiguracija PKI navaja prstne odtise, ki jih mora gostitelj zavrniti, čeprav je potrdilo veljavno podpisano in ni poteklo. Uveljavljanje poteka lokalno, proti seznamu, ki ga je gostitelj naložil ob zagonu storitve. Nič od vnosa ne potuje znotraj potrdila, zato partner ne more izvedeti odločitve iz poverilnice, ki mu je prikazana. Zato svetilnik tu ne igra nobene vloge: svetilniki pomagajo partnerjem najti drug drugega in posredujejo promet tam, kjer neposredna pot odpove. So plast odkrivanja in posredovanja, ne kanal za distribucijo konfiguracije.

Posodobitev enega stroja spremeni odločitve tega stroja in vsakega drugega partnerja pusti natanko takega, kot je bil. Partner, ki zaupa podpisni oblasti in vnosa ni nikoli videl, nima razloga, da bi karkoli zavrnil. Preizkušanje preklica z opazovanjem svetilnika torej ničesar ne dokaže, ker komponenta, ki jo opazujete, nikoli ni bila pozvana, da bi uveljavila seznam.

Prepoznajte potrdilo, ne naprave

Uporabite prstni odtis poverilnice, ki jo nameravate zavrniti, ker ime gostitelja, oznaka naprave ali trenutni naslov danes označujejo en stroj in naslednji mesec nekaj drugega. Noben od teh nizov se ne pojavi na seznamu blokiranih in noben ne preživi ponovne namestitve. Natisnite potrdilo, preberite prstni odtis in preverite, da pripada poverilnici, ki se umika, in ne njeni zamenjavi. Branje obeh datotek je pomembno, ko je zamenjava že izdana, saj si staro in novo potrdilo lahko delita ime in se razlikujeta v vseh drugih poljih.

Zabeležite, kateri prstni odtis je bil blokiran in kdaj, da poznejša revizija loči dokončano spremembo od načrtovane. Zapišite tudi, česa vnos ne stori: ne razveljavi podpisne oblasti in ne prepreči, da bi bilo prihodnje potrdilo te oblasti sprejeto. Blokiranje potrdila gostitelja in zamenjava ogrožene oblasti sta različni operaciji z različnimi posledicami.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Razširjajte ga kot vsako drugo konfiguracijo

Seznam obravnavajte kot konfiguracijo z mehanizmom dostave, ne kot datoteko, ki jo nekdo uredi, ko se spomni. Potisnite celoten seznam namesto delte, da se gostitelj, ki je zamudil prejšnjo posodobitev, približa namesto da kopiči vrzeli. Dokumentacija PKI Nebula priporoča prav to, in nasvet velja upoštevati dobesedno, ne pa ga preoblikovati v ročni postopek.

Potrdite, da je delujoča storitev vsebino znova naložila, ne le da se je datoteka na disku spremenila. Spremljajte, kateri stroji so spremembo uporabili, in seznam odprtih primerov ohranjajte viden, dokler ni prazen. Prenosnik, zaprt en teden, je partner, ki odločitve ni nikoli izvedel, in se lahko znova poveže iz omrežja, ki ga nihče ni pričakoval. Zabeležite način dostave poleg prstnega odtisa, ker ga naslednji preklic znova uporabi, pri prvem pa se postopek razhroščuje.

Seznam blokiranih ali rotacija oblasti

Vnos na seznamu blokiranih je ozek: ena identiteta preneha delovati in vse drugo se nadaljuje. Rotacija podpisne oblasti je široka: vsako potrdilo, ki ga je izdala, postane nezaupanja vredno, in vsak gostitelj potrebuje novo poverilnico in novo sidro zaupanja. Prvo je ciljni preklic, drugo je selitev, zato potrebujeta različna odobritve in različna vzdrževalna okna. Tabela oba postavi drug ob drugega glede na doseg, napor in povratnost.

Izgubljen prenosnik zahteva seznam blokiranih, ker je doseg škode ena identiteta in je sprememba povratna, če ste blokirali napačen prstni odtis. Razkrit ključ oblasti zahteva rotacijo, ker seznam blokiranih ne more pomagati pri potrdilih, ki še niso bila izdana. Med tema skrajnostma vprašajte, ali bi razkrita poverilnica lahko podpisala še kaj, saj je oblast več kot en gostitelj.

Odločitev zapišite pred incidentom, ker izbiranje pod pritiskom praviloma privzeto obrodi široko možnost. Ne glede na pot, ki jo izberete, je preostala delovna postavka enaka: dokazati, da se je uveljavljanje zgodilo na gostiteljih, ki štejejo. Prav zapis prstnega odtisa in datuma v tistem trenutku omogoči dokaz pozneje.

Preverite zavrnitev in preostanek

Povežite se iz blokirane identitete in potrdite neuspeh, nato se povežite z avtoriziranega partnerja in potrdite, da še vedno doseže, kar potrebuje. Sprememba, ki pokvari vse, ni uspešen preklic. Oboje izvedite iz svežih sej, ker lahko predpomnilnik skrije rezultat.

Preverite, ali se vzpostavljena seja po spremembi konča, in zabeležite vedenje za svojo različico in konfiguracijo, namesto da bi domnevali, da urejanje datoteke karkoli konča. Možnost disconnect_invalid pokriva odjemalce, katerih potrdila so potekla ali neveljavna, zato preverite, kako velja za vaš primer, preden se nanjo zanesete. Če je takojšnja prekinitev zahteva, to posebej preizkusite in zabeležite, kar ste opazili. Nato preizkus ponovite po ponovnem zagonu, ker ima gostitelj, ki seznam uveljavlja le do naslednjega zagona, težavo z dostavo, ki jo je prvi preizkus prikril. Zdrav svetilnik vam pove, da odkrivanje deluje, ne pa, da je kateri partner uporabil politiko.