Nebula üç dosyaya ihtiyaç duyar: CA, host sertifikası ve host anahtarı

Birine bir Nebula dizini verirseniz genellikle her şeyi kopyalar, çalışma istasyonunuzdan asla çıkmaması gereken dosya dahil. Karışıklık anlaşılır, çünkü bir hostun PKI bloğundaki üç dosya birbirine benzer ve ikisi sertifikadır. Her biri farklı bir soruyu yanıtlar ve yalnızca ikisi düğüme aittir. Herhangi bir şeyi kopyalamadan önce onları role göre ayırın.

Üç dosya, üç farklı iş

CA sertifikası bir güven çıpasıdır: başka bir host kimliğini sunduğunda hostun hangi otoritelere güvenmesi gerektiğini söyler. Host sertifikası düğümün kendi kimlik belgesidir ve o otorite tarafından imzalanır. Host anahtarı buna karşılık gelen özel yarıdır ve tam olarak tek bir makineye aittir. CA sertifikasına ve kendi çiftine sahip bir düğüm overlay'e katılıp kim olduğunu kanıtlayabilir. Başkasının anahtarına sahip bir düğüm de kendini o kişi olarak tanıtabilir ve bu düzenin önlemek için var olduğu hata tam olarak budur.

Bu nedenle çalışan bir host dizinini ikinci bir makineye kopyalamak kısa yol değildir. Öngörülebilir sonucu olan çoğaltılmış bir kimliktir.

İmzalama anahtarı asla seyahat etmez

CA imzalama anahtarı hiçbir host yapılandırmasının parçası değildir. Yeni kimlikler üretir ve ona sahip olan herkes herhangi bir overlay adresi ve herhangi bir grup için sertifika oluşturabilir. Eşler imzaları doğrulamak için yalnızca açık CA sertifikasına ihtiyaç duyar, bu yüzden özel yarının bir istemcide hiçbir rolü yoktur. Onu sertifikaların verildiği makinede tutun ve kazara bir kopyayı kolaylık değil olay olarak değerlendirin.

Birden fazla kişinin sertifika vermesi gerekiyorsa onlara anahtarın kopyası yerine bir süreç verin. Dizüstü bilgisayarda paylaşılan bir imzalama anahtarı kimsenin denetleyemeyeceği veya iptal edemeyeceği bir yetkidir.

Bir host sertifikasının içinde ne var

Bir host sertifikası bir anahtara dosya adından fazlasını bağlar. Düğümün overlay adresini, adını ve grup üyeliğini taşır; hepsi imzalanmıştır ki bir eş kabul edip etmeyeceğine karar verebilsin. Bu yüzden bir hostu yeniden adlandırmak yapılandırma satırını düzenlemek değil, yeni sertifika vermek anlamına gelir.

nebula-cert print -path host.crt gerçekte neyin verildiğini gösterir. Sertifikanın amaçladığınız adresi taşıdığını varsaymadan önce onu okuyun.

Yeniden yükleme her zaman yeterli değildir

Bazı PKI ayarları bir sinyalle yeniden yüklenir, bazıları yüklenmez.overlay adresi değişmiş bir sertifika yeniden yükleme yerine sürecin yeniden başlatılmasını gerektiren klasik durumdur.

Çalışan sürecin gerçekte hangi yolları açtığını doğrulayın, yalnızca yapılandırma dosyasının adlandırdığı yolları değil. Sonra bir kimlik bilgisini değiştirin, bağlantıyı ve günlükleri doğrulayın ve ancak ondan sonra sıradakine dokunun. Eski sertifika bellekte kalırken başarılı görünen bir yeniden yükleme, yönlendirme sorunu gibi görünen bir uyumsuzluk üretir. Yeniden başlatmak ucuzdur; overlay'in yarısının hâlâ eski biçimde gördüğü bir kimliği hata ayıklamak ucuz değildir.

Bir kimliği kaldırmak engel listesi gerektirir

Kaybolmuş veya açığa çıkmış bir kimlik bilgisini değiştirmenin iki yarısı vardır. Yeni sertifika erişimi geri getirir ve eski kimliğin kabul edilmesi durmalıdır. Bunlar ayrı işlemlerdir ve yalnızca ilkini yapmak ele geçirilmiş kimlik bilgisini geçerli bırakır.

Engel listesi hostlara dağıttığınız bir dosyadır, lighthouse'un kendi başına gönderdiği bir şey değildir. Bugün çevrimdışı olanlar dahil her düğüme nasıl ulaşacağını planlayın ve hangi parmak izlerini engellediğinizi kaydedin. Anahtarı veren makinede döndürün ve yeni sertifikanın ayrıntılarını host kaydıyla birlikte tutun. Yalnızca düzenlediğiniz makinede var olan bir iptal, iptal değildir.