Hindi binago ng pag-reload ng sertipiko ng Nebula ang IP: ito ang dahilan

Maglalabas ka ng bagong sertipiko ng host na may ibang overlay address, kokopyahin ito sa lumang file, ipapadala ang reload, at patuloy na sumasagot ang host sa address na dati nitong ginagamit. Ang reaksyon ay ipagpalagay na nabigo ang reload o maling file ang nabasa. Karaniwang wala sa dalawa ang nangyari: sadyang pinanatili ng tumatakbong proseso ang identidad na mayroon na ito, dahil binago ng kapalit ang isang bagay na hindi maipapataw ng reload.

Ang suporta sa reload ng PKI ng Nebula ay dokumentado kasama ng hangganang iyon, at madaling makaligtaan kapag ang parehong dokumentasyon ay nagpapakita na gumagana ang reload para sa ibang mga pagbabago.

Ano ang aktwal na muling binabasa ng reload

Ang sertipiko ng host ay hindi lamang kredensyal tulad ng isang SSH key. Nagdadala ito ng overlay address, pangalan ng host, mga kasapian sa grupo at validity window, at lahat ng ito ay pinag-uugnay ng lagda ng CA. Ginagamit ng daemon ang nilagdaang nilalaman upang magpasya kung paano ito nagpapakita at kung aling mga patakaran ang naaangkop dito.

Pinapayagan ng reload ang proseso na kunin ang na-renew na kredensyal nang hindi ibinabagsak ang mga tunnel nito, na mahalaga para sa rutinang pag-ikot: parehong address, parehong pangalan, parehong mga grupo, mas huling pag-expire. Ang hadlang ay dapat manatiling pareho ang identidad. Palitan ang overlay address at hindi ito maipapataw ng landas ng reload, dahil ang address ay bahagi ng pinagkasunduan na ng tumatakbong instance.

Kaya ang pag-uugaling nakita mo ay ang dokumentadong hangganan na gumagawa ng trabaho nito, hindi isang tahimik na pagkabigo. Bago ang file sa disk; luma ang identidad sa memorya; walang sinusuportahang paraan ang proseso upang pagkasunduin ang pagkakaibang iyon nang walang restart.

Address, pangalan at mga grupo ay isang identidad

Nakakatulong na isipin ang sertipiko bilang isang talaan sa halip na isang set ng mga field na maaaring i-edit nang hiwalay. Ang paglipat ng address ay hindi tulad ng pagbabago ng kagustuhan, dahil lumilitaw ang address sa mga peer configuration ng ibang host, sa mga binding ng serbisyo at sa mga patakarang isinulat laban sa identidad.

Karapat-dapat ang mga grupo sa sariling linya dahil nagdudulot sila ng mas tahimik na bersyon ng parehong kalituhan. Ang host na pinapanatili ang address ngunit lumilipat ng grupo ay maaaring makaabot sa ibang serbisyo pagkatapos ng restart, at ang pagsubok na ping lamang sa lumang address ay magmumukhang ganap na malusog habang nagbago ang mga desisyon sa pag-access sa ilalim nito. Suriin ang isang serbisyong sakop ng patakaran, hindi lamang ang maabot. Iyon ang pagkakaiba ng pagkumpirma sa tunnel at pagkumpirma sa patakaran.

Ihambing ang na-load na sertipiko sa kapalit

Bago ipagpalagay na binalewala ng daemon ang file, basahin ang dalawa. I-print ang sertipikong balak mong i-load at kumpirmahin ang mga field na inaakala mong binago, pagkatapos ay kumpirmahin na ang tumatakbong configuration ay tumuturo sa landas na iyon at hindi sa kopya sa ibang lugar.

nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)

Mas mahalaga ang mga argumento ng proseso kaysa sa inaasahan ng mga tao. Ang unit na nagpapasa ng -config /etc/nebula/config.yml ay nagbabasa ng pki.cert entry ng file na iyon, at ang sertipikong naka-install sa pansamantalang direktoryo ay walang naaapektuhan. Suriin ang landas sa tumatakbong command line, hindi ang landas sa dokumentasyong sinunod mo. Kung magkaiba ang dalawa, natagpuan mo ang problema nang hindi man lang hinawakan ang sertipiko.

Kung ang bagong sertipiko ay may ibang address at pinanatili ng proseso ang luma, mayroon ka nang paliwanag sa halip na palaisipan. I-restart ito kung katanggap-tanggap, at ituring ang pagbabago ng address bilang planadong pagbabago ng network at hindi aksidente.

Ang pagbabago ng address ay pagbabago ng network

Planuhin ito tulad ng pagpaplano mong ilipat ang isang makina. Maaaring na-pin ng ibang host ang lumang address sa kanilang configuration, maaaring tahasang nakabigkis ang mga serbisyo dito, at maaaring nakasulat ang mga firewall rule laban dito. Ang pagpapalit ng sertipiko ay naglilipat ng host, at ang paglilipat ng host ay nagpapawalang-bisa ng mga palagay sa ibang lugar.

Panatilihing bukas ang pangalawang landas ng pamamahala habang ginagawa ito, dahil ang overlay connection ay maaaring siyang ginagambala mo. Ang gawin ito sa ibabaw ng tunnel na malapit mo nang sirain ay ang klasikong paraan upang gawing pagbisita sa site ang limang minutong pagbabago.

Kung katanggap-tanggap ang restart ay nakasalalay sa ginagawa ng host, at ito ay tanong ng iskedyul at hindi teknikal. Ang hindi opsyonal ay ang kilalanin ang pangangailangan ng restart sa halip na ipadala ang reload sa ikalimang pagkakataon.

Iretiro nang hiwalay ang lumang kredensyal

Ang pag-install ng kapalit sa isang makina ay nag-iiwan sa bawat peer na nagtitiwala pa rin sa kredensyal na alam na nito. Kung ang dahilan ng pagbabago ay kompromiso, kailangang maitabi ang lumang identidad sa pamamagitan ng pamamaraan ng pagtitiwala o blocklist upang tunay na tanggihan ito ng mga peer.

Ito ay hiwalay na hakbang na may sariling pagpapatunay: kumpirmahin mula sa ibang host na hindi na gumagana ang lumang identidad, sa halip na ipagpalagay na natapos ng bagong file ang trabaho. Sinasaklaw ng dokumentasyon ng configuration ng PKI ng Nebula ang mga setting na maaaring i-reload at ang limitasyon sa address na inilarawan dito, at sulit itong basahin nang buo bago i-rotate ang anumang bagay sa produksyon.