Nebula కు మూడు ఫైళ్లు అవసరం: CA, హోస్ట్ సర్టిఫికెట్ మరియు హోస్ట్ కీ

ఎవరికైనా Nebula డైరెక్టరీ ఇచ్చినట్లయితే వారు సాధారణంగా అన్నీ కాపీ చేస్తారు, మీ వర్క్‌స్టేషన్ నుండి ఎప్పుడూ బయటకు వెళ్లకూడని ఫైల్ సహా. గందరగోళం అర్థమవుతుంది, ఎందుకంటే హోస్ట్ యొక్క PKI బ్లాక్‌లోని మూడు ఫైళ్లు ఒకేలా కనిపిస్తాయి మరియు వాటిలో రెండు సర్టిఫికెట్లు. ప్రతిదీ వేరే ప్రశ్నకు సమాధానం ఇస్తుంది, మరియు వాటిలో రెండు మాత్రమే నోడ్‌కు చెందుతాయి. ఏదైనా కాపీ చేయడానికి ముందు వాటిని పాత్ర ప్రకారం వేరు చేయండి.

మూడు ఫైళ్లు, మూడు వేర్వేరు పనులు

CA సర్టిఫికెట్ నమ్మకానికి లంగరు: మరో హోస్ట్ తన గుర్తింపును ప్రదర్శించినప్పుడు ఏ అధికారులను నమ్మాలో అది హోస్ట్‌కు చెబుతుంది. హోస్ట్ సర్టిఫికెట్ నోడ్ యొక్క సొంత ధ్రువపత్రం, దానికి ఆ అధికారం సంతకం చేస్తుంది. హోస్ట్ కీ దానికి సరిపోయే ప్రైవేట్ సగం, మరియు అది సరిగ్గా ఒక యంత్రానికే చెందుతుంది. CA సర్టిఫికెట్ మరియు సొంత జత ఉన్న నోడ్ overlay లో చేరి తాను ఎవరో నిరూపించుకోగలదు. మరొకరి కీ ఉన్న నోడ్ కూడా తానే ఆ వ్యక్తి అని చెప్పుకోగలదు, ఈ అమరిక నిరోధించాలనుకునే లోపం అదే.

అందుకే నడుస్తున్న హోస్ట్ డైరెక్టరీని రెండవ యంత్రానికి కాపీ చేయడం సత్వరమార్గం కాదు. అది ఊహించగల ఫలితంతో కూడిన నకిలీ గుర్తింపు.

సంతకం కీ ఎప్పుడూ ప్రయాణించదు

CA సంతకం కీ ఏ హోస్ట్ కాన్ఫిగరేషన్ లోనూ భాగం కాదు. ఇది కొత్త గుర్తింపులను సృష్టిస్తుంది, దాన్ని కలిగి ఉన్నవారు ఏ overlay చిరునామాకైనా, ఏ సమూహానికైనా సర్టిఫికెట్ జారీ చేయగలరు. సహచరులకు సంతకాలను ధృవీకరించడానికి పబ్లిక్ CA సర్టిఫికెట్ మాత్రమే కావాలి, కాబట్టి క్లయింట్‌పై ప్రైవేట్ సగానికి ఎలాంటి పాత్రా లేదు. సర్టిఫికెట్లు జారీ అయ్యే యంత్రంలోనే దాన్ని ఉంచండి, ఆకస్మిక కాపీని సౌలభ్యం కాదు, సంఘటనగా పరిగణించండి.

అనేక మంది సర్టిఫికెట్లు జారీ చేయాల్సి వస్తే కీ కాపీ కాదు, ఒక ప్రక్రియ ఇవ్వండి. ల్యాప్‌టాప్‌లో పంచుకున్న సంతకం కీ ఎవరూ ఆడిట్ చేయలేని, రద్దు చేయలేని అధికారం.

హోస్ట్ సర్టిఫికెట్ లోపల ఏమి ఉంటుంది

హోస్ట్ సర్టిఫికెట్ కీతో ఫైల్ పేరు కంటే ఎక్కువను కలుపుతుంది. ఇది నోడ్ యొక్క overlay చిరునామా, దాని పేరు మరియు సమూహ సభ్యత్వాన్ని కలిగి ఉంటుంది, అన్నీ సంతకం చేయబడి ఉంటాయి, తద్వారా సహచరుడు దాన్ని అంగీకరించాలా వద్దా అని నిర్ణయించుకోగలడు. అందుకే హోస్ట్ పేరు మార్చడం అంటే కాన్ఫిగరేషన్ లైన్‌ను సవరించడం కాదు, కొత్త సర్టిఫికెట్ జారీ చేయడం.

nebula-cert print -path host.crt వాస్తవానికి ఏమి జారీ అయిందో చూపిస్తుంది. సర్టిఫికెట్‌లో మీరు ఉద్దేశించిన చిరునామా ఉందని భావించే ముందు దాన్ని చదవండి.

మళ్లీ లోడ్ చేయడం ఎప్పుడూ సరిపోదు

కొన్ని PKI సెట్టింగ్‌లు సిగ్నల్‌పై మళ్లీ లోడ్ అవుతాయి, కొన్ని అవ్వవు. overlay చిరునామా మారిన సర్టిఫికెట్ మళ్లీ లోడ్ చేయడం కాదు, ప్రక్రియను పునఃప్రారంభించడం అవసరమయ్యే సాంప్రదాయిక సందర్భం.

కాన్ఫిగరేషన్ ఫైల్ పేర్కొనే మార్గాలే కాదు, నడుస్తున్న ప్రక్రియ వాస్తవంగా తెరిచిన మార్గాలను నిర్ధారించండి. తర్వాత ఒక ధ్రువపత్రాన్ని మార్చి, కనెక్టివిటీ మరియు లాగ్‌లను ధృవీకరించి, ఆ తర్వాతే తదుపరిదాన్ని తాకండి. పాత సర్టిఫికెట్ మెమరీలో ఉండగానే విజయవంతమైనట్టు కనిపించే మళ్లీ లోడింగ్ రూటింగ్ సమస్యలా కనిపించే అసమానతను సృష్టిస్తుంది. పునఃప్రారంభం చవక; సగం overlay ఇంకా పాత విధంగానే చూస్తున్న గుర్తింపును డీబగ్ చేయడం చవక కాదు.

గుర్తింపును తీసివేయడానికి బ్లాక్‌లిస్ట్ అవసరం

పోయిన లేదా బహిర్గతమైన ధ్రువపత్రాన్ని భర్తీ చేయడంలో రెండు సగాలు ఉన్నాయి. కొత్త సర్టిఫికెట్ ప్రాప్యతను పునరుద్ధరిస్తుంది, పాత గుర్తింపు అంగీకరించబడటం ఆగాలి. ఇవి వేర్వేరు కార్యకలాపాలు, మొదటిది మాత్రమే చేస్తే రాజీపడిన ధ్రువపత్రం చెల్లుబాటులో ఉంటుంది.

బ్లాక్‌లిస్ట్ మీరు హోస్ట్‌లకు పంపిణీ చేసే ఫైల్, lighthouse తనంతట తానే పంపేది కాదు. ఈరోజు ఆఫ్‌లైన్ ఉన్నవి సహా ప్రతి నోడ్‌కు అది ఎలా చేరుతుందో ప్రణాళిక వేయండి, మరియు మీరు బ్లాక్ చేసిన వేలిముద్రలను నమోదు చేయండి. జారీ చేసే యంత్రంలో కీని తిప్పండి మరియు కొత్త సర్టిఫికెట్ వివరాలను హోస్ట్ రికార్డ్‌తో ఉంచండి. మీరు సవరించిన యంత్రంలో మాత్రమే ఉన్న రద్దు రద్దు కాదు.