Nebula سرٹیفکیٹ دوبارہ لوڈ کرنے سے IP تبدیل نہیں ہوا: یہ ہے وجہ
دوبارہ لوڈ ہوسٹ کی اسناد کو صرف اسی وقت دوبارہ پڑھتا ہے جب overlay پتہ وہی رہے۔ پتہ تبدیل کرنے کا مطلب دوبارہ آغاز اور نیٹ ورک کی تبدیلی ہے، دوبارہ کوشش نہیں۔
آپ مختلف overlay پتے کے ساتھ نیا ہوسٹ سرٹیفکیٹ جاری کرتے ہیں، اسے پرانی فائل پر کاپی کرتے ہیں، دوبارہ لوڈ بھیجتے ہیں، اور ہوسٹ پہلے والے پتے ہی پر جواب دیتا رہتا ہے۔ فطری ردِعمل یہ سمجھنا ہے کہ دوبارہ لوڈ ناکام ہوا یا غلط فائل پڑھی گئی۔ عام طور پر دونوں میں سے کچھ نہیں ہوا: چل رہا عمل جان بوجھ کر وہی شناخت برقرار رکھے ہوئے تھا جو اس کے پاس پہلے سے تھی، کیونکہ متبادل نے ایسی چیز بدلی جو دوبارہ لوڈ لاگو نہیں کر سکتا۔
Nebula کی PKI دوبارہ لوڈ کی معاونت اسی حد کے ساتھ دستاویز شدہ ہے، اور جب وہی دستاویزات دکھاتی ہیں کہ دوسری تبدیلیوں کے لیے دوبارہ لوڈ کام کرتا ہے تو اسے نظر انداز کرنا آسان ہے۔
دوبارہ لوڈ اصل میں کیا دوبارہ پڑھتا ہے
ہوسٹ سرٹیفکیٹ صرف SSH کلید جیسی اسناد نہیں ہے۔ یہ overlay پتہ، ہوسٹ کا نام، گروپ رکنیتیں اور مدتِ اعتبار رکھتا ہے، اور یہ سب CA کے دستخط سے جڑے ہوئے ہیں۔ ڈیمن اس دستخط شدہ مواد کو استعمال کرتا ہے تاکہ طے کرے کہ خود کو کیسے پیش کرے اور اس پر کون سے اصول لاگو ہوتے ہیں۔
دوبارہ لوڈ عمل کو اجازت دیتا ہے کہ وہ اپنی سرنگیں گرائے بغیر تجدید شدہ اسناد لے لے، جو معمول کی گردش کے لیے قیمتی ہے: وہی پتہ، وہی نام، وہی گروپ، بعد میں اختتام۔ پابندی یہ ہے کہ شناخت وہی رہنی چاہیے۔ overlay پتہ بدلیں تو دوبارہ لوڈ کا راستہ اسے لاگو نہیں کر سکتا، کیونکہ پتہ اس چیز کا حصہ ہے جس کا چلتا ہوا نمونہ پہلے ہی عہد کر چکا ہے۔
لہٰذا جو رویہ آپ نے دیکھا وہ دستاویز شدہ حد اپنا کام کر رہی ہے، خاموش ناکامی نہیں۔ ڈسک پر فائل نئی ہے؛ یادداشت میں شناخت پرانی ہے؛ عمل کے پاس دوبارہ آغاز کے بغیر اس فرق کو ہم آہنگ کرنے کا کوئی معاون طریقہ نہیں۔
پتہ، نام اور گروپ ایک ہی شناخت ہیں
سرٹیفکیٹ کو الگ الگ ترمیم کے قابل خانوں کے مجموعے کے بجائے ایک ریکارڈ سمجھنا مددگار ہے۔ پتہ ہٹانا ترجیح بدلنے جیسا نہیں ہے، کیونکہ پتہ دوسرے ہوسٹس کی پیر ترتیبات، سروس بائنڈنگ اور شناخت کے خلاف لکھی گئی پالیسیوں میں ظاہر ہوتا ہے۔
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
گروپ اپنی الگ سطر کے حقدار ہیں، کیونکہ وہ اسی الجھن کا زیادہ خاموش نسخہ پیدا کرتے ہیں۔ جو ہوسٹ پتہ رکھتے ہوئے گروپ بدل لے وہ دوبارہ آغاز کے بعد مختلف سروسز تک پہنچ سکتا ہے، اور صرف پرانے پتے پر ping کرنے والا امتحان مکمل طور پر صحت مند دکھائی دے گا جبکہ نیچے رسائی کے فیصلے بدل چکے ہوں گے۔ صرف رسائی نہیں، کسی قاعدے کے تحت ایک سروس جانچیں۔ سرنگ کی تصدیق اور پالیسی کی تصدیق کے درمیان یہی فرق ہے۔
لوڈ شدہ سرٹیفکیٹ کا متبادل سے موازنہ کریں
ڈیمن نے فائل نظر انداز کی ہے یہ سمجھنے سے پہلے دونوں پڑھیں۔ جس سرٹیفکیٹ کو لوڈ کرنا چاہتے ہیں اسے پرنٹ کریں اور جن خانوں کو آپ نے بدلا سمجھا ہے ان کی تصدیق کریں، پھر تصدیق کریں کہ چلتی ترتیب اسی راستے کی طرف اشارہ کرتی ہے، کہیں اور کی کاپی کی طرف نہیں۔
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)عمل کے دلائل لوگوں کی توقع سے زیادہ اہم ہیں۔ -config /etc/nebula/config.yml منتقل کرنے والا یونٹ اس فائل کا pki.cert اندراج پڑھتا ہے، اور عارضی ڈائریکٹری میں نصب سرٹیفکیٹ کسی چیز پر اثر نہیں ڈالتا۔ چلتی کمانڈ لائن میں راستہ جانچیں، اس دستاویز کا راستہ نہیں جس کی آپ نے پیروی کی۔ اگر دونوں مختلف ہوں تو آپ نے سرٹیفکیٹ کو چھوئے بغیر ہی مسئلہ ڈھونڈ لیا۔
اگر نئے سرٹیفکیٹ کا پتہ مختلف ہے اور عمل نے پرانا رکھا ہے، تو اب آپ کے پاس معمہ نہیں بلکہ وضاحت ہے۔ اگر قابلِ قبول ہو تو اسے دوبارہ شروع کریں، اور پتے کی تبدیلی کو حادثاتی نہیں بلکہ منصوبہ بند نیٹ ورک تبدیلی سمجھیں۔
پتے کی تبدیلی نیٹ ورک کی تبدیلی ہے
مشین منتقل کرنے کا منصوبہ جیسے بناتے ہیں ویسے ہی اس کا منصوبہ بنائیں۔ دیگر ہوسٹس نے پرانا پتہ اپنی ترتیب میں جما رکھا ہو سکتا ہے، سروسز واضح طور پر اس سے جڑی ہو سکتی ہیں، اور فائر وال قواعد اس کے خلاف لکھے گئے ہو سکتے ہیں۔ سرٹیفکیٹ بدلنے سے ہوسٹ ہلتا ہے، اور ہوسٹ ہلنے سے دیگر مقامات کے مفروضے بے بنیاد ہو جاتے ہیں۔
یہ کرتے وقت دوسرا انتظامی راستہ کھلا رکھیں، کیونکہ ہو سکتا ہے جو آپ میں خلل ڈال رہے ہیں وہی overlay کنکشن ہو۔ جس سرنگ کو آپ توڑنے والے ہیں اسی پر یہ کرنا پانچ منٹ کی تبدیلی کو موقع کے دورے میں بدلنے کا روایتی طریقہ ہے۔
دوبارہ آغاز قابلِ قبول ہے یا نہیں یہ اس پر منحصر ہے کہ ہوسٹ کیا کر رہا ہے، اور یہ تکنیکی نہیں بلکہ شیڈولنگ کا سوال ہے۔ جو اختیاری نہیں وہ یہ ہے کہ دوبارہ لوڈ پانچویں بار بھیجنے کے بجائے دوبارہ آغاز کی ضرورت کو تسلیم کیا جائے۔
پرانی اسناد الگ سے ریٹائر کریں
ایک مشین پر متبادل نصب کرنے سے ہر پیر اب بھی اسی اسناد پر بھروسا کرتا ہے جو وہ پہلے سے جانتا ہے۔ اگر تبدیلی کی وجہ سمجھوتہ تھا تو پرانی شناخت کو اعتماد یا بلاک لسٹ طریقہ کار کے ذریعے ریٹائر کرنا ہوگا تاکہ پیر واقعی اسے مسترد کریں۔
یہ اپنی تصدیق کے ساتھ الگ مرحلہ ہے: نئی فائل نے کام کر دیا یہ سمجھنے کے بجائے کسی دوسرے ہوسٹ سے تصدیق کریں کہ پرانی شناخت اب کام نہیں کرتی۔ Nebula PKI ترتیب کی دستاویزات دوبارہ لوڈ کیے جا سکنے والے ترتیبات اور یہاں بیان کردہ پتے کی حد کا احاطہ کرتی ہیں، اور پیداواری کسی بھی چیز کو گھمانے سے پہلے اسے پورا پڑھنا چاہیے۔