Nebula engel listesi: onu kendiniz dağıtın, deniz feneri dağıtmaz

Engel listesinin uygulanması, denetimi yapan ana makinenin bir özelliğidir, denetlenen sertifikanın değil. Girdiyi hiç yüklememiş bir makine kimliği kabul etmeye devam eder ve el sıkışmada hiçbir şey iki eşin anlaşmadığı konusunda sizi uyarmaz. Açığa çıkmış tek bir kimlik bilgisi için ucuz ve pahalı çözüm, erişim ve geri alınabilirlik bakımından farklıdır, bu yüzden bilinçli seçim yapın. Aşağıdaki bölümler girdinin ne yaptığını, nereye teslim edilmesi gerektiğini, ne zaman döndürmenin daha iyi yanıt olduğunu ve ikisinden birinin işe yaradığını nasıl kanıtlayacağınızı kapsar.

Engel listesi girdisi gerçekte ne yapar

PKI yapılandırması, sertifika geçerli biçimde imzalanmış ve süresi dolmamış olsa bile bir ana makinenin reddetmesi gereken parmak izlerini listeler. Uygulama yerel olarak, ana makinenin hizmet başlarken yüklediği listeye karşı gerçekleşir. Girdiyle ilgili hiçbir şey sertifikanın içinde yol almaz, bu yüzden bir eş kendisine gösterilen kimlik bilgisinden kararı öğrenemez. Bu yüzden bir deniz fenerinin burada hiçbir rolü yoktur: deniz fenerleri eşlerin birbirini bulmasına yardım eder ve doğrudan yolun başarısız olduğu yerde trafiği aktarır. Onlar bir keşif ve aktarma katmanıdır, yapılandırma dağıtım kanalı değil.

Bir makineyi güncellemek o makinenin kararlarını değiştirir ve diğer her eşi tam olduğu gibi bırakır. İmzalayan otoriteye güvenen ve girdiyi hiç görmemiş bir eşin bir şeyi reddetmek için hiçbir nedeni yoktur. Bu nedenle deniz fenerini izleyerek geri çalmayı sınamak hiçbir şey kanıtlamaz, çünkü izlediğiniz bileşenden hiçbir zaman listeyi uygulaması istenmedi.

Sertifikayı tanımlayın, cihazı değil

Reddetmeyi düşündüğünüz kimlik bilgisinin parmak izini kullanın, çünkü bir ana makine adı, cihaz etiketi veya güncel adres bugün bir makineyi, gelecek ay başka bir şeyi tanımlar. Bu dizelerin hiçbiri engel listesinde görünmez ve hiçbiri yeniden kurulumdan sağ çıkmaz. Sertifikayı yazdırın, parmak izini okuyun ve onun kullanımdan kaldırılan kimlik bilgisine ait olduğunu, yerine geçenine değil, doğrulayın. Bir yedek zaten verilmişse iki dosyayı da okumak önemlidir, çünkü eski ve yeni sertifika bir adı paylaşıp diğer her alanda farklılaşabilir.

Hangi parmak izinin ne zaman engellendiğini kaydedin, böylece sonraki bir denetim tamamlanmış değişikliği amaçlanandan ayırır. Girdinin ne yapmadığını da not edin: imzalayan otoriteyi geçersiz kılmaz ve o otoriteden gelecek bir sertifikanın kabul edilmesini engellemez. Bir ana makine sertifikasını engellemek ile ele geçirilmiş bir otoriteyi değiştirmek, farklı sonuçları olan farklı işlemlerdir.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Diğer her yapılandırma gibi dağıtın

Listeyi bir teslim mekanizması olan yapılandırma olarak ele alın, birinin hatırladığında düzenlediği dosya olarak değil. Fark yerine listenin tamamını gönderin, böylece önceki bir güncellemeyi kaçıran ana makine boşluk biriktirmek yerine yakınsar. Nebula PKI belgeleri tam olarak bunu önerir ve öğüdü elle yürütülen bir sürece dönüştürmek yerine harfiyen izlemek değerlidir.

Çalışan hizmetin içeriği yeniden yüklediğini doğrulayın, yalnızca diskteki dosyanın değiştiğini değil. Değişikliği hangi makinelerin uyguladığını izleyin ve bekleyen listeyi boşalana kadar görünür tutun. Bir hafta kapalı kalan dizüstü bilgisayar, kararı hiç öğrenmemiş bir eştir ve kimsenin beklemediği bir ağdan yeniden bağlanabilir. Teslim yöntemini parmak izinin yanına kaydedin, çünkü sonraki geri çalma onu yeniden kullanır ve süreç ilk seferde ayıklanır.

Engel listesi mi otorite döndürme mi

Engel listesi girdisi dardır: bir kimlik çalışmayı bırakır ve diğer her şey sürer. İmzalayan otoriteyi döndürmek geniştir: verdiği her sertifika güvenilmez hale gelir ve her ana makine yeni bir kimlik bilgisi ve yeni bir güven çıpası gerektirir. Birincisi hedefli bir geri çalma, ikincisi bir geçiştir, bu yüzden farklı onaylar ve farklı bakım pencereleri gerektirirler. Tablo ikisini erişim, çaba ve geri alınabilirlik açısından yan yana koyar.

Kayıp bir dizüstü bilgisayar engel listesini gerektirir, çünkü etki yarıçapı tek bir kimliktir ve yanlış parmak izini engellediyseniz değişiklik geri alınabilir. Sızmış bir otorite anahtarı döndürmeyi gerektirir, çünkü engel listesi henüz verilmemiş sertifikalarda yardımcı olamaz. Bu uçlar arasında, açığa çıkan kimlik bilgisinin başka bir şey imzalayıp imzalayamayacağını sorun, çünkü bir otorite bir ana makineden fazlasıdır.

Kararı bir olaydan önce yazın, çünkü baskı altında seçim yapmak varsayılan olarak geniş seçeneği üretme eğilimindedir. Hangi yolu seçerseniz seçin, kalan iş öğesi aynıdır: uygulamanın önemli ana makinelerde gerçekleştiğini kanıtlayın. O anda parmak izini ve tarihi kaydetmek, kanıtı sonra mümkün kılan şeydir.

Reddi ve geri kalanı doğrulayın

Engellenen kimlikten bağlanın ve hatayı doğrulayın, ardından yetkili bir eşten bağlanın ve hâlâ ihtiyacı olana ulaştığını doğrulayın. Herkesi bozan bir değişiklik başarılı bir geri çalma değildir. İkisini de yeni oturumlardan yapın, çünkü önbelleğe alınmış durum sonucu gizleyebilir.

Değişiklikten sonra kurulmuş bir oturumun bitip bitmediğini denetleyin ve bir dosyayı düzenlemenin bir şeyi sonlandırdığını varsaymak yerine sürümünüz ve yapılandırmanız için davranışı not edin. disconnect_invalid seçeneği sertifikaları süresi dolmuş veya geçersiz istemcileri kapsar, bu yüzden ona güvenmeden önce sizin durumunuza nasıl uygulandığını doğrulayın. Anında sonlandırma bir gereksinimse, bunu özellikle test edin ve gözlemlediğinizi kaydedin. Ardından testi yeniden başlatmadan sonra yineleyin, çünkü listeyi yalnızca bir sonraki yeniden başlatmaya kadar uygulayan bir ana makinenin ilk testin gizlediği bir teslim sorunu vardır. Sağlıklı bir deniz feneri size keşfin çalıştığını söyler, herhangi bir eşin bir politika uyguladığını değil.