Nebula potrebuje tri datoteke: CA, potrdilo gostitelja in ključ gostitelja

Če nekomu daste imenik Nebula, običajno kopira vse, vključno z datoteko, ki nikoli ne bi smela zapustiti vaše delovne postaje. Zmeda je razumljiva, saj so si tri datoteke v bloku PKI gostitelja podobne in dve od njih sta potrdili. Vsaka odgovarja na drugo vprašanje in samo dve pripadata vozlišču. Preden kar koli kopirate, jih razvrstite po vlogi.

Tri datoteke, tri različne naloge

Potrdilo CA je sidro zaupanja: gostitelju pove, katerim oblastem naj zaupa, ko drug gostitelj predstavi svojo identiteto. Potrdilo gostitelja je lastna izkaznica vozlišča, ki jo je podpisala ta oblast. Ključ gostitelja je ustrezna zasebna polovica in pripada natanko enemu stroju. Vozlišče s potrdilom CA in lastnim parom se lahko pridruži overlayju in dokaže, kdo je. Vozlišče s ključem nekoga drugega se lahko tudi predstavlja kot ta oseba, in prav to napako naj bi ta ureditev preprečila.

Kopiranje delujočega imenika gostitelja na drugi stroj torej ni bližnjica. To je podvojena identiteta s predvidljivim izidom.

Podpisni ključ nikoli ne potuje

Podpisni ključ CA ni del nobene konfiguracije gostitelja. Ustvarja nove identitete in kdor ga ima, lahko izda potrdilo za kateri koli naslov overlay in katero koli skupino. Nasprotne strani za preverjanje podpisov potrebujejo le javno potrdilo CA, zato zasebna polovica na odjemalcu nima nobene vloge. Hranite ga na stroju, kjer se izdajajo potrdila, in naključno kopijo obravnavajte kot incident, ne kot udobje.

Če mora potrdila izdajati več ljudi, jim dajte postopek namesto kopije ključa. Skupni podpisni ključ na prenosniku je oblast, ki je nihče ne more revidirati ali preklicati.

Kaj je znotraj potrdila gostitelja

Potrdilo gostitelja veže na ključ več kot ime datoteke. Nosil naslov vozlišča v overlayju, njegovo ime in članstvo v skupini, vse podpisano, da se nasprotna stran lahko odloči, ali ga bo sprejela. Zato preimenovanje gostitelja pomeni izdajo novega potrdila, ne urejanje vrstice konfiguracije.

nebula-cert print -path host.crt pokaže, kaj je bilo dejansko izdano. Preberite ga, preden domnevate, da potrdilo nosi naslov, ki ste ga nameravali.

Ponovno nalaganje ni vedno dovolj

Nekatere nastavitve PKI se ponovno naložijo ob signalu, nekatere ne. Potrdilo, katerega naslov v overlayju se je spremenil je klasičen primer, ki zahteva ponovni zagon procesa in ne ponovnega nalaganja.

Preverite, katere poti je delujoči proces dejansko odprl, ne le katere poti navaja konfiguracijska datoteka. Nato zamenjajte eno poverilnico, preverite povezljivost in dnevnike, in šele nato se lotite naslednje. Ponovno nalaganje, ki je videti uspešno, medtem ko staro potrdilo ostane v pomnilniku, ustvari neskladje, ki je videti kot težava z usmerjanjem. Ponovni zagon je poceni; razhroščevanje identitete, ki jo polovica overlayja še vedno vidi po starem, ni.

Odstranitev identitete zahteva seznam blokad

Zamenjava izgubljene ali razkrite poverilnice ima dve polovici. Novo potrdilo obnovi dostop, stara identiteta pa se mora prenehati sprejemati. To sta ločeni operaciji in izvedba samo prve pusti kompromitirano poverilnico veljavno.

Seznam blokad je datoteka, ki jo razdelite gostiteljem, ne nekaj, kar lighthouse pošilja sam. Načrtujte, kako doseže vsako vozlišče, tudi tista, ki so danes brez povezave, in zabeležite, katere prstne odtise ste blokirali. Zavrtite ključ na stroju, ki izdaja potrdila, in podatke o novem potrdilu hranite ob zapisu gostitelja. Preklic, ki obstaja samo na stroju, ki ste ga uredili, ni preklic.