Nebula-у су потребна три фајла: CA, сертификат домаћина и кључ домаћина

Ако некоме дате Nebula директоријум, обично ће копирати све, укључујући и датотеку која никада не би требало да напусти вашу радну станицу. Забуна је разумљива, јер три датотеке у PKI блоку домаћина изгледају слично и две су сертификати. Свака одговара на друго питање и само две припадају чвору. Разврстајте их по улози пре него што било шта копирате.

Три фајла, три различита посла

CA сертификат је сидро поверења: говори домаћину којим органима да верује када други домаћин представи свој идентитет. Сертификат домаћина је сопствена акредитива чвора, потписана од тог органа. Кључ домаћина је одговарајућа приватна половина и припада тачно једном рачунару. Чвор са CA сертификатом и сопственим паром може да се придружи overlay-у и докаже ко је. Чвор са туђим кључем такође може да се представља као та особа, и то је квар који ова поставка треба да спречи.

Копирање радног директоријума домаћина на други рачунар зато није пречица. То је удвостручени идентитет са предвидивим исходом.

Кључ за потписивање никада не путује

CA кључ за потписивање није део ниједне конфигурације домаћина. Он ствара нове идентитете, а онај ко га има може да изда сертификат за било коју overlay адресу и било коју групу. Партнерима је за проверу потписа потребан само јавни CA сертификат, па приватна половина на клијенту уопште нема улогу. Држите га на рачунару на коме се издају сертификати и третирајте случајну копију као инцидент, а не као погодност.

Ако више људи треба да издаје сертификате, дајте им процес уместо копије кључа. Дељени кључ за потписивање на преносном рачунару је овлашћење које нико не може да ревидира ни опозове.

Шта се налази у сертификату домаћина

Сертификат домаћина везује за кључ више од имена датотеке. Носи overlay адресу чвора, његово име и чланство у групи, све потписано како би партнер могао да одлучи да ли ће га прихватити. Зато преименовање домаћина значи издавање новог сертификата, а не уређивање линије конфигурације.

nebula-cert print -path host.crt показује шта је заиста издато. Прочитајте га пре него што претпоставите да сертификат носи адресу коју сте наменили.

Поновно учитавање није увек довољно

Неке PKI поставке се поново учитавају на сигнал, а неке не. Сертификат чија се overlay адреса променила је класичан случај који захтева поновно покретање процеса, а не поновно учитавање.

Проверите које је путање покренути процес заиста отворио, не само које путање наводи конфигурацијска датотека. Затим промените једну акредитиву, проверите повезивост и дневнике, и тек онда пређите на следећу. Поновно учитавање које изгледа успешно док стари сертификат остаје у меморији ствара неспој који изгледа као проблем усмеравања. Поновно покретање је јефтино; отклањање грешака у идентитету који половина overlay-а још види на стари начин није.

Уклањање идентитета захтева блок листу

Замена изгубљене или откривене акредитиве има две половине. Нови сертификат враћа приступ, а стари идентитет мора да престане да се прихвата. То су одвојене операције и извођење само прве оставља компромитовану акредитиву важећом.

Блок листа је датотека коју делите домаћинима, а не нешто што lighthouse шаље сам. Испланирајте како стиже до сваког чвора, укључујући оне који су данас ван мреже, и забележите које сте отиске блокирали. Ротирајте кључ на рачунару који издаје и чувајте податке новог сертификата уз запис домаћина. Опозив који постоји само на рачунару који сте уредили није опозив.