Nebula సర్టిఫికెట్ రీలోడ్ చేయడం వల్ల IP మారలేదు: కారణం ఇదే
overlay చిరునామా అలాగే ఉన్నప్పుడే రీలోడ్ హోస్ట్ ఆధారాలు మళ్లీ చదువుతుంది. చిరునామా మార్చడం అంటే పునఃప్రారంభం మరియు నెట్‌వర్క్ మార్పు, మళ్లీ ప్రయత్నం కాదు.
మీరు వేరే overlay చిరునామాతో కొత్త హోస్ట్ సర్టిఫికెట్ జారీ చేసి, దాన్ని పాత ఫైల్ మీద కాపీ చేసి, రీలోడ్ పంపినా, హోస్ట్ మునుపటి చిరునామా మీదే స్పందిస్తూనే ఉంటుంది. సహజ ప్రతిచర్య రీలోడ్ విఫలమైంది లేదా తప్పు ఫైల్ చదవబడింది అని భావించడం. సాధారణంగా రెండూ జరగలేదు: నడుస్తున్న ప్రక్రియ ఇప్పటికే ఉన్న గుర్తింపును ఉద్దేశపూర్వకంగా నిలుపుకుంది, ఎందుకంటే భర్తీ రీలోడ్ వర్తింపజేయలేని ఒకటి మార్చింది.
Nebula యొక్క PKI రీలోడ్ మద్దతు ఇదే హద్దుతో నమోదు చేయబడింది, అదే పత్రాలు ఇతర మార్పులకు రీలోడ్ పనిచేస్తుందని చూపించినప్పుడు దీన్ని దాటవేయడం సులభం.
రీలోడ్ నిజంగా ఏమి మళ్లీ చదువుతుంది
హోస్ట్ సర్టిఫికెట్ SSH కీలా కేవలం ఆధారం కాదు. ఇది overlay చిరునామా, హోస్ట్ పేరు, సమూహ సభ్యత్వాలు మరియు చెల్లుబాటు వ్యవధిని కలిగి ఉంటుంది, ఇవన్నీ CA సంతకంతో కలిపి బంధించబడ్డాయి. డీమన్ ఆ సంతకం చేసిన కంటెంట్‌ను తనను ఎలా ప్రదర్శించుకోవాలి, ఏ నియమాలు వర్తిస్తాయి అని నిర్ణయించడానికి ఉపయోగిస్తుంది.
రీలోడ్ ప్రక్రియను తన సొరంగాలను విడవకుండా పునరుద్ధరించిన ఆధారాలను తీసుకోవడానికి అనుమతిస్తుంది, ఇది సాధారణ భ్రమణానికి విలువైనది: అదే చిరునామా, అదే పేరు, అదే సమూహాలు, తర్వాత ముగింపు. పరిమితి ఏమిటంటే గుర్తింపు అలాగే ఉండాలి. overlay చిరునామా మార్చండి, రీలోడ్ మార్గం దాన్ని వర్తింపజేయలేదు, ఎందుకంటే చిరునామా నడుస్తున్న ఇన్‌స్టాన్స్ ఇప్పటికే అంగీకరించిన దానిలో భాగం.
కాబట్టి మీరు చూసిన ప్రవర్తన నమోదు చేసిన హద్దు తన పని చేస్తోంది, నిశ్శబ్ద వైఫల్యం కాదు. డిస్క్‌లోని ఫైల్ కొత్తది; మెమొరీలోని గుర్తింపు పాతది; పునఃప్రారంభం లేకుండా ఆ భేదాన్ని సమన్వయం చేయడానికి ప్రక్రియకు మద్దతు ఉన్న మార్గం లేదు.
చిరునామా, పేరు మరియు సమూహాలు ఒకే గుర్తింపు
సర్టిఫికెట్‌ను విడివిడిగా సవరించగల ఫీల్డ్‌ల సమితిగా కాకుండా ఒకే రికార్డుగా చూడటం సహాయపడుతుంది. చిరునామాను తరలించడం ప్రాధాన్యతను మార్చడం లాంటిది కాదు, ఎందుకంటే చిరునామా ఇతర హోస్ట్‌ల పీర్ కాన్ఫిగరేషన్‌లలో, సేవా బైండింగ్‌లలో మరియు గుర్తింపుకు వ్యతిరేకంగా రాసిన విధానాలలో కనిపిస్తుంది.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
సమూహాలు తమకంటూ ప్రత్యేక పంక్తికి అర్హం, ఎందుకంటే అవి అదే గందరగోళానికి మరింత ప్రశాంతమైన రూపాన్ని కలిగిస్తాయి. చిరునామాను ఉంచుకుని సమూహాలను మార్చే హోస్ట్ పునఃప్రారంభం తర్వాత వేరే సేవలను చేరుకోవచ్చు, పాత చిరునామాకు మాత్రమే ping చేసే పరీక్ష పూర్తిగా ఆరోగ్యంగా కనిపిస్తుంది కానీ కింద ప్రవేశ నిర్ణయాలు మారిపోయి ఉంటాయి. కేవలం చేరుకోగలగడం కాదు, నియమం పరిధిలోని ఒక సేవను పరిశీలించండి. సొరంగాన్ని నిర్ధారించడం మరియు విధానాన్ని నిర్ధారించడం మధ్య భేదం అదే.
లోడ్ చేసిన సర్టిఫికెట్‌ను భర్తీతో పోల్చండి
డీమన్ ఫైల్‌ను పట్టించుకోలేదని భావించే ముందు రెండింటినీ చదవండి. మీరు లోడ్ చేయాలనుకునే సర్టిఫికెట్‌ను ముద్రించి, మార్చామని భావించే ఫీల్డ్‌లను నిర్ధారించి, తర్వాత నడుస్తున్న కాన్ఫిగరేషన్ ఆ మార్గాన్నే సూచిస్తోందా, వేరే చోటి కాపీని కాదా అని నిర్ధారించండి.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)ప్రక్రియ ఆర్గ్యుమెంట్‌లు ప్రజలు ఊహించిన దానికంటే ముఖ్యం. -config /etc/nebula/config.yml అందించే యూనిట్ ఆ ఫైల్ యొక్క pki.cert ఎంట్రీని చదువుతుంది, తాత్కాలిక డైరెక్టరీలో ఇన్‌స్టాల్ చేసిన సర్టిఫికెట్ ఏదీ ప్రభావితం చేయదు. నడుస్తున్న ఆదేశ పంక్తిలోని మార్గాన్ని తనిఖీ చేయండి, మీరు అనుసరించిన పత్రంలోని మార్గాన్ని కాదు. రెండూ భిన్నంగా ఉంటే సర్టిఫికెట్‌ను తాకకుండానే మీరు సమస్యను కనుగొన్నారు.
కొత్త సర్టిఫికెట్‌కు వేరే చిరునామా ఉండి ప్రక్రియ పాతదాన్ని ఉంచుకుంటే, ఇప్పుడు మీకు చిక్కు కాదు, వివరణ ఉంది. అంగీకారయోగ్యమైతే దాన్ని పునఃప్రారంభించండి, మరియు చిరునామా మార్పును ఆకస్మికం కాదు, ప్రణాళికాబద్ధ నెట్‌వర్క్ మార్పుగా పరిగణించండి.
చిరునామా మార్పు నెట్‌వర్క్ మార్పు
యంత్రాన్ని తరలించడాన్ని ప్రణాళిక చేసినట్టే దీన్ని ప్రణాళిక చేయండి. ఇతర హోస్ట్‌లు పాత చిరునామాను తమ కాన్ఫిగరేషన్‌లో పిన్ చేసి ఉండవచ్చు, సేవలు దానికి స్పష్టంగా బంధించి ఉండవచ్చు, ఫైర్‌వాల్ నియమాలు దానికి వ్యతిరేకంగా రాసి ఉండవచ్చు. సర్టిఫికెట్ మార్చడం హోస్ట్‌ను తరలిస్తుంది, హోస్ట్‌ను తరలించడం వేరే చోటి ఊహలను చెల్లనివి చేస్తుంది.
ఇది చేస్తున్నప్పుడు రెండవ నిర్వహణ మార్గాన్ని తెరిచి ఉంచండి, ఎందుకంటే మీరు అంతరాయం కలిగిస్తున్నది overlay కనెక్షన్ కావచ్చు. మీరు విరగ్గొట్టబోయే సొరంగం మీదుగానే ఇది చేయడం ఐదు నిమిషాల మార్పును సైట్ సందర్శనగా మార్చే సాంప్రదాయ మార్గం.
పునఃప్రారంభం అంగీకారయోగ్యమా అనేది హోస్ట్ ఏమి చేస్తోందనే దానిపై ఆధారపడి ఉంటుంది, ఇది సాంకేతికం కాదు, షెడ్యూలింగ్ ప్రశ్న. ఐచ్ఛికం కానిది ఏమిటంటే రీలోడ్‌ను ఐదవసారి పంపడం బదులు పునఃప్రారంభ అవసరాన్ని అంగీకరించడం.
పాత ఆధారాన్ని విడిగా విరమించండి
ఒకే యంత్రంలో భర్తీని ఇన్‌స్టాల్ చేయడం ప్రతి పీర్ ఇప్పటికే తెలిసిన ఆధారాన్ని ఇంకా నమ్ముతూనే ఉండేలా వదిలివేస్తుంది. మార్పుకు కారణం భంగం అయితే, పాత గుర్తింపు విశ్వాసం లేదా బ్లాక్‌లిస్ట్ విధానం ద్వారా విరమించాలి, అప్పుడే పీర్‌లు దాన్ని నిజంగా తిరస్కరిస్తారు.
ఇది తన స్వంత ధృవీకరణతో కూడిన ప్రత్యేక దశ: కొత్త ఫైల్ పని చేసిందని భావించడం బదులు, పాత గుర్తింపు ఇక పని చేయదని మరో హోస్ట్ నుండి నిర్ధారించండి. Nebula PKI కాన్ఫిగరేషన్ పత్రం రీలోడ్ చేయగల సెట్టింగ్‌లను మరియు ఇక్కడ వివరించిన చిరునామా పరిమితిని కవర్ చేస్తుంది, ఉత్పత్తిలో ఏదైనా భ్రమణం చేయడానికి ముందు దాన్ని పూర్తిగా చదవడం విలువైనది.