Kupakia upya cheti cha Nebula hakukubadilisha IP: hii ndiyo sababu

Unatoa cheti kipya cha mwenyeji na anwani nyingine ya overlay, unakinakili juu ya faili ya zamani, unatuma upakiaji upya, na mwenyeji anaendelea kujibu kwenye anwani aliyokuwa nayo awali. Mwitikio wa kawaida ni kudhani upakiaji upya umeshindikana au faili isiyo sahihi imesomwa. Kwa kawaida hakuna kilichotokea: mchakato unaoendesha ulihifadhi kwa makusudi utambulisho aliokuwa nao tayari, kwa sababu badiliko lilibadilisha kitu ambacho upakiaji upya hauwezi kutumia.

Usaidizi wa upakiaji upya wa PKI katika Nebula umeandikwa pamoja na mpaka huo, na ni rahisi kuukosa wakati nyaraka hizo hizo zinaonyesha kuwa upakiaji upya hufanya kazi kwa mabadiliko mengine.

Kile upakiaji upya husoma upya kwa kweli

Cheti cha mwenyeji si vielelezo tu kama vile ufunguo wa SSH ulivyo. Hubeba anwani ya overlay, jina la mwenyeji, ushiriki wa vikundi na kipindi cha uhalali, na vyote hivi vimefungwa pamoja na sahihi ya CA. Daemon hutumia maudhui hayo yaliyosainiwa kuamua jinsi inavyojitokeza na sheria zipi zinatumika kwake.

Upakiaji upya humruhusu mchakato kuchukua vielelezo vilivyohuishwa bila kuangusha vichuguu vyake, jambo ambalo ni la thamani kwa mzunguko wa kawaida: anwani ile ile, jina lile lile, vikundi vile vile, kuisha baadaye. Kizuizi ni kwamba utambulisho lazima ubaki ule ule. Badilisha anwani ya overlay na njia ya upakiaji upya haiwezi kuitumia, kwa sababu anwani ni sehemu ya kile ambacho nakala inayoendesha imejitolea tayari.

Kwa hiyo tabia uliyoiona ni mpaka ulioandikwa ukifanya kazi yake, si kushindikana kwa kimya. Faili kwenye diski ni mpya; utambulisho kwenye kumbukumbu ni wa zamani; mchakato hauna njia inayoungwa mkono ya kupatanisha tofauti hiyo bila kuanza upya.

Anwani, jina na vikundi ni utambulisho mmoja

Inasaidia kufikiria cheti kama rekodi moja badala ya seti ya sehemu unazoweza kuhariri kivyake. Kuhamisha anwani si kama kubadilisha upendeleo, kwa sababu anwani inaonekana katika usanidi wa wenza wa wenyeji wengine, katika viungo vya huduma na katika sera zilizoandikwa dhidi ya utambulisho.

Vikundi vinastahili mstari wao kwa sababu husababisha toleo la utulivu zaidi la mkanganyiko huo. Mwenyeji anayebakiza anwani yake lakini hubadilisha vikundi anaweza kufikia huduma tofauti baada ya kuanza upya, na jaribio linalopiga ping tu kwenye anwani ya zamani litaonekana likiwa na afya kamili wakati maamuzi ya ufikiaji yamebadilika chini yake. Angalia huduma moja inayodhibitiwa na sheria, si ufikivu tu. Huo ni tofauti kati ya kuthibitisha vichuguu na kuthibitisha sera.

Linganisha cheti kilichopakiwa na mbadala

Kabla ya kudhani daemon ilipuuza faili, soma zote mbili. Chapisha cheti unachokusudia kupakia na uthibitishe sehemu unazodhani ulizibadilisha, kisha uthibitishe kwamba usanidi unaoendesha unaelekeza kwenye njia hiyo na si kwenye nakala mahali pengine.

nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)

Hoja za mchakato zina umuhimu zaidi kuliko watu wanavyotarajia. Kitengo kinachopitisha -config /etc/nebula/config.yml husoma ingizo pki.cert la faili hiyo, na cheti kilichosakinishwa katika saraka ya muda hakiathiri chochote. Angalia njia iliyo kwenye mstari wa amri unaoendesha, si njia iliyo kwenye nyaraka ulizofuata. Ikiwa zote mbili zinatofautiana, umegundua tatizo bila kugusa cheti hata kidogo.

Ikiwa cheti kipya kina anwani tofauti na mchakato ulibakiza ile ya zamani, sasa una maelezo badala ya fumbo. Ianzishe upya ikiwa hilo linakubalika, na chukulia mabadiliko ya anwani kama mabadiliko ya mtandao yaliyopangwa na si ya bahati nasibu.

Mabadiliko ya anwani ni mabadiliko ya mtandao

Ipange kama ungepanga kuhamisha mashine. Wenyeji wengine wanaweza kuwa wamebana anwani ya zamani katika usanidi wao, huduma zinaweza kujiunga nayo kwa uwazi, na sheria za firewall zinaweza kuwa zimeandikwa dhidi yake. Kubadilisha cheti huhamisha mwenyeji, na kuhamisha mwenyeji kunabatilisha dhana mahali pengine.

Weka njia ya pili ya usimamizi ikiwa wazi unapofanya hivi, kwa sababu muunganisho wa overlay unaweza kuwa ndio unaouchinja. Kufanya hivi juu ya kichuguu ulicho karibu kuvunja ni njia ya kawaida ya kubadilisha mabadiliko ya dakika tano kuwa ziara ya eneo.

Ikiwa kuanza upya kunakubalika inategemea mwenyeji anafanya nini, na hilo ni swali la upangaji na si la kiufundi. Lisilo la hiari ni kukiri hitaji la kuanza upya badala ya kutuma upakiaji upya mara ya tano.

Ondoa vielelezo vya zamani kwa njia tofauti

Kusakinisha mbadala kwenye mashine moja kunaacha kila mwenza bado akiamini vielelezo anavyojua tayari. Ikiwa sababu ya mabadiliko ilikuwa uvunjaji wa usalama, utambulisho wa zamani lazima uondolewe kupitia utaratibu wa uaminifu au orodha ya kuzuia ili wenza waukatae kwa kweli.

Hii ni hatua tofauti na uthibitisho wake: thibitisha kutoka kwa mwenyeji mwingine kwamba utambulisho wa zamani haufanyi kazi tena, badala ya kudhani faili mpya ilifanya kazi. Nyaraka za usanidi wa PKI za Nebula zinashughulikia mipangilio inayoweza kupakiwa upya na kizuizi cha anwani kilichoelezwa hapa, na inafaa kusoma kwa ukamilifu kabla ya kuzungusha kitu chochote cha uzalishaji.