Nebula blok-ro'yxati: uni o'zingiz tarqating, mayoq buni qilmaydi

Blok-ro'yxatni amalga oshirish tekshiruvni bajarayotgan xostning xossasi, tekshirilayotgan sertifikatning emas. Yozuvni hech qachon yuklamagan mashina identifikatsiyani qabul qilishda davom etadi va qo'l berishda ikki hamkor kelishmayotgani haqida hech narsa sizni ogohlantirmaydi. Bitta oshkor bo'lgan hisob ma'lumoti uchun arzon va qimmat yechim qamrov va qaytarilish jihatidan farq qiladi, shuning uchun ongli tanlang. Quyidagi bo'limlar yozuv nima qilishini, uni qayerga yetkazish kerakligini, qachon aylantirish yaxshiroq javob ekanini va ikkisidan biri ishlaganini qanday isbotlashni qamrab oladi.

Blok-ro'yxat yozuvi aslida nima qiladi

PKI konfiguratsiyasi sertifikat to'g'ri imzolangan va muddati o'tmagan bo'lsa ham xost rad etishi kerak bo'lgan barmoq izlarini sanab o'tadi. Amalga oshirish mahalliy tarzda, xost xizmat boshlanganda yuklagan ro'yxatga qarshi sodir bo'ladi. Yozuv haqida hech narsa sertifikat ichida sayohat qilmaydi, shuning uchun hamkor ko'rsatilgan hisob ma'lumotidan qarorni bila olmaydi. Shuning uchun mayoq bu yerda hech qanday rol o'ynamaydi: mayoqlar hamkorlarga bir-birini topishga yordam beradi va to'g'ridan-to'g'ri yo'l ishlamaydigan joyda trafikni uzatadi. Ular kashfiyot va uzatish qatlami, konfiguratsiyani tarqatish kanali emas.

Bitta mashinani yangilash o'sha mashinaning qarorlarini o'zgartiradi va boshqa har bir hamkorni avvalgidek qoldiradi. Imzolovchi organga ishonadigan va yozuvni hech qachon ko'rmagan hamkorning biror narsani rad etishga asosi yo'q. Shuning uchun mayoqni kuzatib bekor qilishni sinash hech narsani isbotlamaydi, chunki siz kuzatayotgan komponentdan hech qachon ro'yxatni amalga oshirish so'ralmagan.

Sertifikatni aniqlang, qurilmani emas

Rad etmoqchi bo'lgan hisob ma'lumotingizning barmoq izidan foydalaning, chunki xost nomi, qurilma yorlig'i yoki joriy manzil bugun bitta mashinani, keyingi oyda boshqa narsani aniqlaydi. Bu satrlarning hech biri blok-ro'yxatda ko'rinmaydi va hech biri qayta o'rnatishdan omon qolmaydi. Sertifikatni chop eting, barmoq izini o'qing va u foydalanishdan chiqarilayotgan hisob ma'lumotiga tegishli ekanini, uning o'rnini bosuvchisiga emas, tekshiring. O'rinbosar allaqachon berilgan bo'lsa ikkala faylni o'qish muhim, chunki eski va yangi sertifikat bitta nomni bo'lishishi va qolgan har bir maydonda farq qilishi mumkin.

Qaysi barmoq izi qachon bloklangani qayd eting, shunda keyingi audit tugallangan o'zgarishni mo'ljallangandan ajratadi. Yozuv nima qilmasligini ham qayd eting: u imzolovchi organni bekor qilmaydi va o'sha organdan kelajakdagi sertifikat qabul qilinishini to'xtatmaydi. Xost sertifikatini bloklash va buzilgan organni almashtirish turli oqibatlarga ega turli operatsiyalardir.

nebula-cert print -path /etc/nebula/host.crt
pki:
  blocklist:
    - "a1b2c3d4e5f6"

Uni har qanday boshqa konfiguratsiya kabi tarqating

Ro'yxatga yetkazib berish mexanizmi bo'lgan konfiguratsiya sifatida qarang, kimdir eslaganda tahrirlaydigan fayl sifatida emas. Delta o'rniga butun ro'yxatni yuboring, shunda oldingi yangilanishni o'tkazib yuborgan xost bo'shliqlarni to'plash o'rniga birlashadi. Nebula PKI hujjati aynan shuni tavsiya qiladi va maslahatga qo'lda jarayonga aylantirish o'rniga so'zma-so'z amal qilish arziydi.

Ishlayotgan xizmat mazmunni qayta yuklaganini tasdiqlang, faqat diskdagi fayl o'zgarganini emas. Qaysi mashinalar o'zgarishni qo'llaganini kuzatib boring va qolgan ro'yxatni bo'shaguncha ko'rinadigan qilib turing. Bir hafta yopiq turgan noutbuk qarorni hech qachon o'rganmagan hamkor bo'lib, u hech kim kutmagani tarmoqdan qayta ulanadi. Yetkazib berish usulini barmoq izi yonida qayd eting, chunki keyingi bekor qilish uni qayta ishlatadi va birinchisida jarayon tuzatiladi.

Blok-ro'yxatmi yoki organni aylantirishmi

Blok-ro'yxat yozuvi tor: bitta identifikatsiya ishlashni to'xtatadi va qolgan hamma narsa davom etadi. Imzolovchi organni aylantirish keng: u bergan har bir sertifikat ishonchsiz bo'ladi va har bir xost yangi hisob ma'lumoti hamda yangi ishonch ankeriga muhtoj. Birinchisi maqsadli bekor qilish, ikkinchisi migratsiya, shuning uchun ular turli tasdiqlar va turli texnik xizmat oynalarini talab qiladi. Jadval ikkalasini qamrov, mehnat va qaytarilish bo'yicha yonma-yon qo'yadi.

Yo'qolgan noutbuk blok-ro'yxatni talab qiladi, chunki zarar radiusi bitta identifikatsiya va noto'g'ri barmoq izini bloklagan bo'lsangiz o'zgarish qaytariladi. Oshkor bo'lgan organ kaliti aylantirishni talab qiladi, chunki blok-ro'yxat hali berilmagan sertifikatlarga yordam bera olmaydi. Bu chegaralar orasida, organ bitta xostdan ko'proq ekan, oshkor bo'lgan hisob ma'lumoti boshqa narsani imzolay olganmi, deb so'rang.

Qarorni voqeadan oldin yozing, chunki bosim ostida tanlash odatda keng variantni keltirib chiqaradi. Qaysi yo'lni tanlasangiz ham, qolgan ish bir xil: amalga oshirish muhim xostlarda bo'lganini isbotlang. O'sha paytda barmoq izi va sanani qayd etish keyinchalik isbotni mumkin qiladi.

Rad etishni va qolganini tekshiring

Bloklangan identifikatsiyadan ulanib muvaffaqiyatsizlikni tasdiqlang, so'ng vakolatli hamkordan ulanib u hali ham kerakli narsaga yetishini tasdiqlang. Hammani buzadigan o'zgarish muvaffaqiyatli bekor qilish emas. Ikkalasini ham yangi sessiyalardan bajaring, chunki keshlangan holat natijani yashirishi mumkin.

O'zgarishdan keyin o'rnatilgan sessiya tugaydimi, tekshiring va faylni tahrirlash nimanidir tugatadi deb o'ylash o'rniga versiyangiz va konfiguratsiyangiz uchun xatti-harakatni qayd eting. disconnect_invalid varianti sertifikatlari muddati o'tgan yoki yaroqsiz mijozlarni qamrab oladi, shuning uchun unga tayanmasdan oldin sizning holatingizda qanday qo'llanishini tasdiqlang. Agar darhol tugatish talab bo'lsa, buni alohida sinab ko'ring va kuzatganingizni qayd eting. So'ng qayta ishga tushirishdan keyin testni takrorlang, chunki ro'yxatni faqat keyingi qayta ishga tushirishgacha amalga oshiradigan xostda birinchi test yashirgan yetkazib berish muammosi bor. Sog'lom mayoq kashfiyot ishlayotganini aytadi, biron hamkor siyosat qo'llaganini emas.