Kailangan ng Nebula ng tatlong file: CA, sertipiko ng host at susi ng host

Kapag binigyan mo ang isang tao ng direktoryo ng Nebula, karaniwang kinokopya niya ang lahat, kasama ang file na hindi dapat kailanman umalis sa iyong workstation. Nauunawaan ang kalituhan, dahil ang tatlong file sa PKI block ng isang host ay magkakahawig at dalawa sa kanila ay mga sertipiko. Bawat isa ay sumasagot sa ibang tanong, at dalawa lamang ang nabibilang sa node. Paghiwalayin sila ayon sa tungkulin bago ka magkopya ng kahit ano.

Tatlong file, tatlong magkaibang gawain

Ang sertipiko ng CA ay ang angkla ng pagtitiwala: sinasabi nito sa isang host kung aling mga awtoridad ang pagtitiwalaan kapag nagpakita ng pagkakakilanlan ang ibang host. Ang sertipiko ng host ay ang sariling kredensyal ng node, pinirmahan ng awtoridad na iyon. Ang susi ng host ay ang katumbas na pribadong kalahati, at pag-aari ito ng eksaktong isang makina. Ang node na may sertipiko ng CA at sariling pares ay makakasali sa overlay at makapagpapatunay kung sino siya. Ang node na may susi ng ibang tao ay maaari ring magpanggap na ang taong iyon, at ito ang pagkabigo na dapat pigilan ng kaayusang ito.

Kaya ang pagkopya ng gumaganang direktoryo ng host sa pangalawang makina ay hindi maikling landas. Ito ay nadobleng pagkakakilanlan na may mahuhulaang resulta.

Ang susi ng pagpirma ay hindi kailanman naglalakbay

Ang susi ng pagpirma ng CA ay hindi bahagi ng anumang konfigurasyon ng host. Gumagawa ito ng mga bagong pagkakakilanlan, at sinumang may hawak nito ay makakapaglabas ng sertipiko para sa anumang overlay address at anumang grupo. Ang mga kapares ay nangangailangan lamang ng pampublikong sertipiko ng CA upang i-verify ang mga lagda, kaya ang pribadong kalahati ay walang tungkulin sa isang kliyente. Itago ito sa makinang pinaglalabasan ng mga sertipiko, at ituring ang aksidenteng kopya bilang insidente, hindi kaginhawahan.

Kung maraming tao ang kailangang maglabas ng sertipiko, bigyan sila ng proseso sa halip na kopya ng susi. Ang pinagsasaluhang susi ng pagpirma sa isang laptop ay awtoridad na walang sinumang makakapag-audit o makakapagbawi.

Ano ang nasa loob ng sertipiko ng host

Ang sertipiko ng host ay nagbibigkis ng higit pa sa pangalan ng file sa isang susi. Dinadala nito ang overlay address ng node, ang pangalan at ang pagiging kasapi sa grupo, lahat pinirmahan upang makapagpasya ang kapares kung tatanggapin ito. Kaya nga ang pagpapalit ng pangalan ng host ay nangangahulugang paglalabas ng bagong sertipiko, hindi pag-edit ng linya ng konfigurasyon.

nebula-cert print -path host.crt ipinapakita kung ano talaga ang inilabas. Basahin ito bago ipagpalagay na ang sertipiko ay nagdadala ng address na nilayon mo.

Hindi laging sapat ang muling pag-load

Ang ilang setting ng PKI ay muling naglo-load sa isang senyas, ang iba ay hindi.Isang sertipikong nagbago ang overlay address ang klasikong kaso na nangangailangan ng pag-restart ng proseso sa halip na muling pag-load.

Tiyakin kung aling mga landas ang talagang binuksan ng tumatakbong proseso, hindi lamang kung aling mga landas ang binabanggit ng file ng konfigurasyon. Pagkatapos ay palitan ang isang kredensyal, i-verify ang koneksyon at mga log, at saka lamang hawakan ang susunod. Ang muling pag-load na mukhang matagumpay habang ang lumang sertipiko ay nananatili sa memorya ay gumagawa ng pagkakaiba na mukhang problema sa routing. Mura ang pag-restart; ang i-debug ang pagkakakilanlang nakikita pa rin ng kalahati ng overlay sa lumang paraan ay hindi mura.

Ang pag-alis ng pagkakakilanlan ay nangangailangan ng blocklist

Ang pagpapalit ng nawala o naisapublikong kredensyal ay may dalawang kalahati. Ibinalik ng bagong sertipiko ang access, at ang lumang pagkakakilanlan ay dapat tumigil sa pagtanggap. Magkaibang operasyon ang mga ito, at ang gawin lamang ang una ay nag-iiwan sa kompromisadong kredensyal na may bisa.

Ang blocklist ay isang file na ipinamimigay mo sa mga host, hindi isang bagay na itinutulak ng lighthouse nang mag-isa. Planuhin kung paano ito makakarating sa bawat node, kasama ang mga offline ngayon, at itala kung aling mga fingerprint ang hinarang mo. Paikutin ang susi sa makinang naglalabas at itago ang mga detalye ng bagong sertipiko kasama ng talaan ng host. Ang pagbawi na umiiral lamang sa makina na in-edit mo ay hindi pagbawi.