Nebula sertifikatini qayta yuklash IP manzilini o‘zgartirmadi: sababi shu
Qayta yuklash xost hisob ma’lumotlarini faqat overlay manzili o‘zgarmaganda qayta o‘qiydi. Manzilni o‘zgartirish qayta ishga tushirish va tarmoq o‘zgarishini bildiradi, qayta urinishni emas.
Siz boshqa overlay manzili bilan yangi xost sertifikatini chiqarasiz, uni eski fayl ustiga ko‘chirasiz, qayta yuklashni yuborasiz, va xost avvalgi manzilda javob berishda davom etadi. Odatiy javob — qayta yuklash muvaffaqiyatsiz bo‘ldi yoki noto‘g‘ri fayl o‘qildi deb o‘ylash. Odatda ikkalasi ham bo‘lmagan: ishlab turgan jarayon allaqachon mavjud bo‘lgan shaxsiyatni ataylab saqlab qolgan, chunki almashtirish qayta yuklash qo‘llay olmaydigan narsani o‘zgartirgan.
Nebula’ning PKI qayta yuklash qo‘llab-quvvatlashi aynan shu chegara bilan hujjatlashtirilgan va xuddi shu hujjat qayta yuklash boshqa o‘zgarishlar uchun ishlashini ko‘rsatganda buni o‘tkazib yuborish oson.
Qayta yuklash aslida nimani qayta o‘qiydi
Xost sertifikati SSH kaliti kabi oddiy hisob ma’lumoti emas. U overlay manzilini, xost nomini, guruh a’zoliklarini va amal qilish muddatini olib yuradi, va bularning barchasi CA imzosi bilan bog‘langan. Demon bu imzolangan tarkibdan qanday ko‘rinishini va qaysi qoidalar unga tegishli ekanini aniqlash uchun foydalanadi.
Qayta yuklash jarayonga tunnelarini tashlamasdan yangilangan hisob ma’lumotlarini olish imkonini beradi, bu muntazam rotatsiya uchun qimmatli: bir xil manzil, bir xil nom, bir xil guruhlar, kechroq tugash. Cheklov — shaxsiyat bir xil qolishi kerak. Overlay manzilini o‘zgartirsangiz, qayta yuklash yo‘li uni qo‘llay olmaydi, chunki manzil ishlab turgan nusxa allaqachon majburiyat olgan narsaning bir qismi.
Demak, siz ko‘rgan xatti-harakat hujjatlashtirilgan chegaraning o‘z ishini qilishi, jimgina muvaffaqiyatsizlik emas. Diskdagi fayl yangi; xotiradagi shaxsiyat eski; jarayonning qayta ishga tushirishsiz bu farqni kelishtirishning qo‘llab-quvvatlanadigan yo‘li yo‘q.
Manzil, nom va guruhlar — bitta shaxsiyat
Sertifikatni alohida tahrirlanadigan maydonlar to‘plami emas, bitta yozuv deb qarash yordam beradi. Manzilni ko‘chirish afzallikni o‘zgartirishga o‘xshamaydi, chunki manzil boshqa xostlarning teng konfiguratsiyalarida, xizmat bog‘lanishlarida va shaxsiyatga qarshi yozilgan siyosatlarda uchraydi.
| Field | What changes when you replace it |
|---|---|
| Overlay address | Peers that pinned the old address, service bindings, and any rule written against it |
| Host name | Name-based policy and the identities other hosts expect to see |
| Groups | Which access rules match, even if the address stays identical |
| Validity window | Nothing structural, which is why renewal reloads cleanly |
Guruhlar alohida satrga loyiq, chunki ular xuddi shu chalkashlikning sokinroq versiyasini keltirib chiqaradi. Manzilini saqlab, guruhini almashtirgan xost qayta ishga tushirgandan keyin boshqa xizmatlarga yetib borishi mumkin, va faqat eski manzilga ping yuboradigan test butunlay sog‘lom ko‘rinadi, holbuki ostida kirish qarorlari o‘zgargan. Faqat yetib borish emas, qoida bilan qamrab olingan bitta xizmatni tekshiring. Tunnelni tasdiqlash va siyosatni tasdiqlash orasidagi farq shu.
Yuklangan sertifikatni almashtirish bilan solishtiring
Demon faylni e’tiborsiz qoldirdi deb o‘ylashdan oldin ikkalasini ham o‘qing. Yuklamoqchi bo‘lgan sertifikatni chop eting va o‘zgartirgan deb o‘ylagan maydonlarni tasdiqlang, so‘ng ishlab turgan konfiguratsiya o‘sha yo‘lni ko‘rsatishini, boshqa joydagi nusxani emasligini tasdiqlang.
nebula-cert print -path /etc/nebula/host.crt
systemctl status nebula
ps -o args= -p $(pgrep -f 'nebula -config' | head -1)Jarayon argumentlari odamlar kutganidan muhimroq. -config /etc/nebula/config.yml uzatadigan birlik o‘sha faylning pki.cert yozuvini o‘qiydi, va vaqtinchalik katalogga o‘rnatilgan sertifikat hech narsaga ta’sir qilmaydi. Ishlab turgan buyruq satridagi yo‘lni tekshiring, siz amal qilgan hujjatdagi yo‘lni emas. Ikkalasi farq qilsa, sertifikatga umuman tegmasdan muammoni topgansiz.
Agar yangi sertifikatning manzili boshqacha bo‘lsa va jarayon eskisini saqlab qolgan bo‘lsa, endi sizda jumboq emas, izoh bor. Qabul qilinsa uni qayta ishga tushiring va manzil o‘zgarishini tasodifiy emas, rejalashtirilgan tarmoq o‘zgarishi deb qarang.
Manzil o‘zgarishi — tarmoq o‘zgarishi
Mashinani ko‘chirishni rejalashtirgandek rejalashtiring. Boshqa xostlar eski manzilni konfiguratsiyasida mahkamlab qo‘ygan bo‘lishi mumkin, xizmatlar unga aniq bog‘langan bo‘lishi mumkin, va xavfsizlik devori qoidalari unga qarshi yozilgan bo‘lishi mumkin. Sertifikatni o‘zgartirish xostni ko‘chiradi, xostni ko‘chirish esa boshqa joylardagi taxminlarni bekor qiladi.
Buni qilayotganda ikkinchi boshqaruv yo‘lini ochiq saqlang, chunki siz to‘xtatayotgan narsa aynan overlay ulanishi bo‘lishi mumkin. Buzmoqchi bo‘lgan tunnel ustida buni qilish besh daqiqalik o‘zgarishni joyga tashrifga aylantirishning klassik usuli.
Qayta ishga tushirish maqbulmi — bu xost nima qilayotganiga bog‘liq va bu texnik emas, rejalashtirish savoli. Majburiy bo‘lgan narsa qayta yuklashni beshinchi marta yuborish o‘rniga qayta ishga tushirish talabini tan olishdir.
Eski hisob ma’lumotlarini alohida bekor qiling
Bitta mashinaga almashtirish o‘rnatish har bir tengning hali ham o‘zi bilgan hisob ma’lumotlariga ishonishini qoldiradi. Agar o‘zgarish sababi buzilish bo‘lsa, eski shaxsiyat ishonch yoki blok-ro‘yxat tartibi orqali bekor qilinishi kerak, shunda tenglar uni haqiqatan rad etadi.
Bu o‘z tekshiruviga ega alohida qadam: yangi fayl ishni bajardi deb o‘ylash o‘rniga, boshqa xostdan eski shaxsiyat endi ishlamasligini tasdiqlang. Nebula PKI konfiguratsiya hujjatlari qayta yuklanishi mumkin bo‘lgan sozlamalarni va shu yerda tasvirlangan manzil cheklovini qamrab oladi, va ishlab chiqarishga tegishli biror narsani rotatsiya qilishdan oldin uni to‘liq o‘qishga arziydi.