Nebula sertifikasını yeniden yüklemek IP’yi değiştirmedi: nedeni bu
Yeniden yükleme, ana makine kimlik bilgilerini yalnızca overlay adresi aynı kaldığında yeniden okur. Adresi değiştirmek yeniden başlatma ve ağ değişikliği demektir, yeni bir deneme değil.
Farklı bir overlay adresiyle yeni bir ana makine sertifikası düzenlersiniz, onu eski dosyanın üzerine kopyalarsınız, yeniden yüklemeyi gönderirsiniz ve ana makine önceki adresinde yanıt vermeye devam eder. Refleks, yeniden yüklemenin başarısız olduğunu ya da yanlış dosyanın okunduğunu varsaymaktır. Genellikle ikisi de olmadı: çalışan süreç, zaten sahip olduğu kimliği bilerek korudu, çünkü değiştirme, yeniden yüklemenin uygulayamayacağı bir şeyi değiştirmişti.
Nebula’nın PKI yeniden yükleme desteği bu sınırla belgelenmiştir ve aynı belge yeniden yüklemenin başka değişiklikler için çalıştığını gösterdiğinde bunu gözden kaçırmak kolaydır.
Yeniden yükleme gerçekte neyi yeniden okur
Ana makine sertifikası yalnızca SSH anahtarı gibi bir kimlik bilgisi değildir. Overlay adresini, ana makine adını, grup üyeliklerini ve bir geçerlilik penceresini taşır ve bunların hepsi CA’nın imzasıyla birbirine bağlıdır. Arka plan programı, kendini nasıl sunacağına ve hangi kuralların ona uygulanacağına karar vermek için bu imzalı içeriği kullanır.
Yeniden yükleme, sürecin tünellerini düşürmeden yenilenmiş kimlik bilgilerini almasını sağlar; bu, rutin rotasyon için değerlidir: aynı adres, aynı ad, aynı gruplar, daha geç sona erme. Kısıt, kimliğin aynı kalması gerektiğidir. Overlay adresini değiştirin, yeniden yükleme yolu bunu uygulayamaz, çünkü adres çalışan örneğin zaten taahhüt ettiği şeyin bir parçasıdır.
Yani gördüğünüz davranış, belgelenmiş sınırın işini yapmasıdır, sessiz bir arıza değil. Diskteki dosya yeni; bellekteki kimlik eski; sürecin yeniden başlatma olmadan bu farkı uzlaştırmasının desteklenen bir yolu yok.
Adres, ad ve gruplar tek bir kimliktir
Sertifikayı bağımsız olarak düzenlenebilen alanlar kümesi yerine tek bir kayıt olarak düşünmek yardımcı olur. Adresi taşımak bir tercihi değiştirmek gibi değildir, çünkü adres diğer ana makinelerin eş yapılandırmalarında, hizmet bağlamalarında ve kimliğe karşı yazılmış ilkelerde görünür.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Gruplar kendi satırını hak eder, çünkü aynı karışıklığın daha sessiz bir sürümüne yol açarlar. Adresini koruyup grubunu değiştiren bir ana makine, yeniden başlatmadan sonra farklı hizmetlere ulaşabilir ve yalnızca eski adrese ping atan bir test tamamen sağlıklı görünürken altındaki erişim kararları değişmiş olur. Yalnızca erişilebilirliği değil, bir kuralla kapsanan tek bir hizmeti kontrol edin. Tüneli doğrulamak ile ilkeyi doğrulamak arasındaki fark budur.
Yüklenen sertifikayı yedekle karşılaştırın
Arka plan programının dosyayı yok saydığını varsaymadan önce ikisini de okuyun. Yüklemeyi düşündüğünüz sertifikayı yazdırın ve değiştirdiğinizi düşündüğünüz alanları doğrulayın, ardından çalışan yapılandırmanın o yola işaret ettiğini, başka bir yerdeki kopyaya değil, doğrulayın.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Süreç argümanları insanların beklediğinden daha önemlidir. -config /etc/nebula/config.yml geçen bir birim o dosyanın pki.cert girdisini okur ve geçici bir dizine kurulan sertifika hiçbir şeyi etkilemez. Çalışan komut satırındaki yolu kontrol edin, izlediğiniz belgedeki yolu değil. İkisi farklıysa sertifikaya hiç dokunmadan sorunu bulmuşsunuzdur.
Yeni sertifikanın adresi farklıysa ve süreç eskisini koruduysa, artık bir gizem değil bir açıklamanız var. Kabul edilebilirse yeniden başlatın ve adres değişikliğini kazara değil planlı bir ağ değişikliği olarak ele alın.
Adres değişikliği bir ağ değişikliğidir
Bir makineyi taşımayı planladığınız gibi planlayın. Diğer ana makineler eski adresi yapılandırmalarına sabitlemiş olabilir, hizmetler ona açıkça bağlanıyor olabilir ve güvenlik duvarı kuralları ona karşı yazılmış olabilir. Sertifikayı değiştirmek ana makineyi taşır ve ana makineyi taşımak başka yerlerdeki varsayımları geçersiz kılar.
Bunu yaparken ikinci bir yönetim yolu açık tutun, çünkü kestiğiniz şey overlay bağlantısının kendisi olabilir. Bunu kırmak üzere olduğunuz tünelin üzerinden yapmak, beş dakikalık bir değişikliği yerinde ziyarete dönüştürmenin klasik yoludur.
Yeniden başlatmanın kabul edilebilir olup olmadığı ana makinenin ne yaptığına bağlıdır ve bu teknik değil, zamanlama sorusudur. İsteğe bağlı olmayan şey, yeniden yüklemeyi beşinci kez göndermek yerine yeniden başlatma gereğini kabul etmektir.
Eski kimlik bilgisini ayrı olarak kullanımdan kaldırın
Tek bir makineye bir yedek kurmak, her eşin hâlâ bildiği kimlik bilgisine güvenmesine yol açar. Değişikliğin nedeni bir ihlalse, eski kimliğin eşlerin gerçekten reddetmesi için güven veya engel listesi prosedürüyle kullanımdan kaldırılması gerekir.
Bu, kendi doğrulaması olan ayrı bir adımdır: yeni dosyanın işi bitirdiğini varsaymak yerine başka bir ana makineden eski kimliğin artık çalışmadığını doğrulayın. Nebula PKI yapılandırma belgeleri yeniden yüklenebilen ayarları ve burada açıklanan adres kısıtını kapsar ve üretime dönük herhangi bir şeyi döndürmeden önce tamamen okumaya değer.