Nebula کی بلاک لسٹ: اسے خود تقسیم کریں، لائٹ ہاؤس نہیں کرے گا

بلاک لسٹ کا نفاذ اس میزبان کی خاصیت ہے جو جانچ کر رہا ہے، نہ کہ اس سرٹیفکیٹ کی جس کی جانچ ہو رہی ہے۔ وہ مشین جس نے اندراج کبھی لوڈ نہیں کیا وہ اس شناخت کو قبول کرتی رہتی ہے، اور مصافحے میں کوئی چیز آپ کو خبردار نہیں کرتی کہ دو ساتھی متفق نہیں۔ ایک افشا شدہ اسناد کے لیے سستا اور مہنگا حل رسائی اور واپسی کی صلاحیت میں مختلف ہیں، اس لیے سوچ سمجھ کر انتخاب کریں۔ نیچے کے حصے بتاتے ہیں کہ اندراج کیا کرتا ہے، اسے کہاں پہنچانا ہوتا ہے، گھمانا کب بہتر جواب ہے، اور کیسے ثابت کریں کہ دونوں میں سے ایک کام کر گیا۔

بلاک لسٹ کا اندراج دراصل کیا کرتا ہے

PKI ترتیب ان فنگر پرنٹس کی فہرست دیتی ہے جنہیں میزبان کو مسترد کرنا ہوتا ہے، اگرچہ سرٹیفکیٹ درست طور پر دستخط شدہ اور غیرمیعاد ختم ہو۔ نفاذ مقامی طور پر ہوتا ہے، اس فہرست کے خلاف جو میزبان نے سروس شروع ہونے پر لوڈ کی تھی۔ اندراج کی کوئی چیز سرٹیفکیٹ کے اندر سفر نہیں کرتی، اس لیے ساتھی دکھائی گئی اسناد سے فیصلہ نہیں جان سکتا۔ اسی لیے لائٹ ہاؤس کا یہاں کوئی کردار نہیں: لائٹ ہاؤس ساتھیوں کو ایک دوسرے کو ڈھونڈنے میں مدد دیتے ہیں اور جہاں سیدھا راستہ ناکام ہو وہاں ٹریفک منتقل کرتے ہیں۔ وہ دریافت اور منتقلی کی تہہ ہیں، ترتیب تقسیم کرنے کا ذریعہ نہیں۔

ایک مشین کو اپ ڈیٹ کرنا اس مشین کے فیصلے بدلتا ہے اور ہر دوسرے ساتھی کو بالکل ویسا ہی چھوڑ دیتا ہے جیسا وہ تھا۔ جو ساتھی دستخط کرنے والے اختیار پر بھروسا کرتا ہے اور اندراج کبھی نہیں دیکھا، اس کے پاس کچھ مسترد کرنے کی کوئی وجہ نہیں۔ اس لیے لائٹ ہاؤس کو دیکھ کر منسوخی کی جانچ کچھ ثابت نہیں کرتی، کیونکہ جس جزو کو آپ دیکھ رہے ہیں اسے کبھی فہرست نافذ کرنے کو نہیں کہا گیا۔

سرٹیفکیٹ کی شناخت کریں، آلے کی نہیں

اس اسناد کا فنگر پرنٹ استعمال کریں جسے آپ مسترد کرنا چاہتے ہیں، کیونکہ میزبان کا نام، آلے کا لیبل یا موجودہ پتہ آج ایک مشین کی اور اگلے مہینے کسی اور چیز کی شناخت کرتا ہے۔ ان میں سے کوئی سٹرنگ بلاک لسٹ میں نہیں آتی، اور کوئی دوبارہ تنصیب کے بعد نہیں بچتی۔ سرٹیفکیٹ پرنٹ کریں، فنگر پرنٹ پڑھیں، اور جانچیں کہ یہ اس اسناد کا ہے جو فارغ کیا جا رہا ہے، نہ کہ اس کے متبادل کا۔ دونوں فائلیں پڑھنا اہم ہے جب متبادل پہلے ہی جاری ہو چکا ہو، کیونکہ پرانا اور نیا سرٹیفکیٹ ایک نام بانٹ سکتے ہیں اور باقی ہر میدان میں مختلف ہو سکتے ہیں۔

ریکارڈ کریں کہ کون سا فنگر پرنٹ کب بلاک ہوا، تاکہ بعد کی جانچ مکمل شدہ تبدیلی کو ارادی سے الگ کر سکے۔ یہ بھی نوٹ کریں کہ اندراج کیا نہیں کرتا: یہ دستخط کرنے والے اختیار کو کالعدم نہیں کرتا، اور اس اختیار سے آئندہ سرٹیفکیٹ کے قبول ہونے کو نہیں روکتا۔ میزبان سرٹیفکیٹ بلاک کرنا اور سمجھوتہ شدہ اختیار بدلنا مختلف نتائج کے ساتھ مختلف کارروائیاں ہیں۔

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

اسے کسی بھی دوسری ترتیب کی طرح تقسیم کریں

فہرست کو ترتیب کے طور پر ڈیلیوری میکانزم کے ساتھ سمجھیں، نہ کہ ایسی فائل جو کوئی یاد آنے پر ترمیم کرے۔ ڈیلٹا کی بجائے پوری فہرست بھیجیں، تاکہ پہلے کی اپ ڈیٹ کھو دینے والا میزبان خلا جمع کرنے کی بجائے یکجا ہو جائے۔ Nebula PKI دستاویز بالکل یہی تجویز کرتی ہے، اور مشورے پر عمل لفظی طور پر کرنا چاہیے، نہ کہ اسے دستی عمل میں بدلنا۔

تصدیق کریں کہ چلتی سروس نے مواد دوبارہ لوڈ کیا، نہ کہ صرف یہ کہ ڈسک پر فائل بدلی۔ ٹریک کریں کہ کون سی مشینوں نے تبدیلی لاگو کی اور باقی فہرست کو خالی ہونے تک نظر آتا رکھیں۔ ایک ہفتے کے لیے بند لیپ ٹاپ وہ ساتھی ہے جس نے فیصلہ کبھی نہیں سیکھا، اور وہ کسی ایسے نیٹ ورک سے دوبارہ جڑ سکتا ہے جس کی کسی نے توقع نہیں کی۔ فنگر پرنٹ کے ساتھ ڈیلیوری طریقہ نوٹ کریں، کیونکہ اگلی منسوخی اسے دوبارہ استعمال کرے گی اور پہلی بار میں ہی عمل کی ڈیبگنگ ہوتی ہے۔

بلاک لسٹ یا اختیار کو گھمانا

بلاک لسٹ کا اندراج تنگ ہے: ایک شناخت کام کرنا بند کر دیتی ہے اور باقی سب جاری رہتا ہے۔ دستخط کرنے والے اختیار کو گھمانا وسیع ہے: اس کا جاری کردہ ہر سرٹیفکیٹ ناقابلِ بھروسا ہو جاتا ہے، اور ہر میزبان کو نئی اسناد اور نیا اعتماد لنگر چاہیے۔ پہلا ہدف شدہ منسوخی ہے اور دوسرا منتقلی، اس لیے انہیں مختلف منظوریاں اور مختلف دیکھ بھال کے اوقات چاہئیں۔ جدول دونوں کو رسائی، محنت اور واپسی کی صلاحیت پر ساتھ ساتھ رکھتا ہے۔

گم شدہ لیپ ٹاپ کے لیے بلاک لسٹ درکار ہے، کیونکہ نقصان کا دائرہ ایک شناخت ہے اور تبدیلی واپس ہو سکتی ہے اگر آپ نے غلط فنگر پرنٹ بلاک کیا۔ لیک ہوئی اختیار کلید کے لیے گھمانا درکار ہے، کیونکہ بلاک لسٹ ان سرٹیفکیٹس میں مدد نہیں کر سکتی جو ابھی جاری نہیں ہوئے۔ ان انتہاؤں کے درمیان پوچھیں کہ کیا افشا شدہ اسناد کچھ اور دستخط کر سکتی تھی، کیونکہ اختیار ایک میزبان سے زیادہ ہے۔

واقعے سے پہلے فیصلہ لکھیں، کیونکہ دباؤ میں انتخاب عام طور پر وسیع آپشن پیدا کرتا ہے۔ آپ جو بھی راستہ لیں، باقی کام ایک ہی ہے: ثابت کریں کہ نفاذ ان میزبانوں پر ہوا جو اہم ہیں۔ اسی لمحے فنگر پرنٹ اور تاریخ درج کرنا ہی بعد میں ثبوت کو ممکن بناتا ہے۔

مسترد ہونا اور باقی حصہ جانچیں

بلاک شدہ شناخت سے جڑ کر ناکامی کی تصدیق کریں، پھر مجاز ساتھی سے جڑ کر تصدیق کریں کہ وہ اب بھی اپنی ضرورت تک پہنچتا ہے۔ وہ تبدیلی جو سب کو توڑ دے وہ کامیاب منسوخی نہیں۔ دونوں تازہ سیشنوں سے کریں، کیونکہ کیش شدہ حالت نتیجہ چھپا سکتی ہے۔

جانچیں کہ تبدیلی کے بعد قائم سیشن ختم ہوتا ہے یا نہیں، اور اپنے ورژن اور ترتیب کے لیے رویہ نوٹ کریں، بجائے یہ فرض کرنے کہ فائل میں ترمیم کچھ ختم کر دیتی ہے۔ disconnect_invalid اختیار ان کلائنٹس کو ڈھکتا ہے جن کے سرٹیفکیٹ میعاد ختم یا ناجائز ہیں، اس لیے اس پر بھروسا کرنے سے پہلے تصدیق کریں کہ یہ آپ کے معاملے پر کیسے لاگو ہوتا ہے۔ اگر فوری خاتمہ ضروری ہو تو اسے خاص طور پر جانچیں اور جو دیکھا اسے درج کریں۔ پھر دوبارہ آغاز کے بعد جانچ دہرائیں، کیونکہ جو میزبان فہرست صرف اگلی ری بوٹ تک نافذ کرتا ہے اس میں ڈیلیوری کا مسئلہ ہے جو پہلی جانچ نے چھپایا۔ صحت مند لائٹ ہاؤس آپ کو بتاتا ہے کہ دریافت کام کرتی ہے، یہ نہیں کہ کسی ساتھی نے پالیسی لاگو کی۔