Nebula uchta faylni talab qiladi: CA, host sertifikati va host kaliti
Uchta fayl uchta ishni bajaradi: CA sertifikati ishonchni o'rnatadi, host sertifikati tugunni nomlaydi, maxfiy kalit esa faqat shu tugunda qoladi.
Agar kimgadir Nebula katalogini bersangiz, u odatda hammasini nusxalaydi, ish stansiyangizdan hech qachon chiqmasligi kerak bo'lgan faylni ham. Chalkashlik tushunarli, chunki hostning PKI blokidagi uchta fayl bir-biriga o'xshaydi va ulardan ikkitasi sertifikat. Har biri boshqa savolga javob beradi va faqat ikkitasi tugunga tegishli. Biror narsani nusxalashdan oldin ularni rolga qarab ajrating.
Uchta fayl, uchta har xil ish
CA sertifikati ishonch langaridir: boshqa host o'z shaxsini taqdim etganda host qaysi organlarga ishonishini aytadi. Host sertifikati tugunning o'z guvohnomasi bo'lib, o'sha organ tomonidan imzolangan. Host kaliti unga mos maxfiy yarmidir va aynan bitta mashinaga tegishli. CA sertifikati va o'z juftiga ega tugun overlayga qo'shilib, kimligini isbotlay oladi. Boshqasining kaliti bo'lgan tugun ham o'zini o'sha shaxs deb ko'rsata oladi va bu sxema aynan shu xatoning oldini olish uchun mavjud.
Shuning uchun ishlayotgan host katalogini ikkinchi mashinaga nusxalash qisqa yo'l emas. Bu natijasi oldindan ma'lum bo'lgan takroriy shaxs.
Imzolash kaliti hech qachon sayohat qilmaydi
CA imzolash kaliti hech qaysi host konfiguratsiyasining qismi emas. U yangi shaxslarni yaratadi va uni ushlab turgan har kim har qanday overlay manzili va har qanday guruh uchun sertifikat chiqara oladi. Tengdoshlarga imzolarni tekshirish uchun faqat ochiq CA sertifikati kerak, shuning uchun maxfiy yarmining mijozda hech qanday roli yo'q. Uni sertifikatlar chiqariladigan mashinada saqlang va tasodifiy nusxani qulaylik emas, hodisa deb qabul qiling.
Agar bir necha kishi sertifikat chiqarishi kerak bo'lsa, ularga kalit nusxasi emas, jarayon bering. Noutbukdagi umumiy imzolash kaliti hech kim tekshira yoki bekor qila olmaydigan vakolatdir.
Host sertifikatining ichida nima bor
Host sertifikati kalitga fayl nomidan ko'proq narsani bog'laydi. U tugunning overlay manzilini, nomini va guruh a'zoligini olib yuradi, hammasi imzolangan, shuning uchun tengdosh uni qabul qilish-qilmasligini hal qila oladi. Shuning uchun host nomini o'zgartirish konfiguratsiya satrini tahrirlash emas, yangi sertifikat chiqarish demakdir.
nebula-cert print -path host.crt haqiqatda nima chiqarilganini ko'rsatadi. Sertifikat siz ko'zlagan manzilni olib yuradi deb hisoblashdan oldin uni o'qing.
Qayta yuklash har doim yetarli emas
Ba'zi PKI sozlamalari signal bo'yicha qayta yuklanadi, ba'zilari esa yo'q.overlay manzili o'zgargan sertifikat qayta yuklash emas, jarayonni qayta ishga tushirishni talab qiladigan klassik holat.
Ishlayotgan jarayon haqiqatda qaysi yo'llarni ochganini tasdiqlang, faqat konfiguratsiya fayli ko'rsatgan yo'llarni emas. So'ng bitta guvohnomani almashtiring, ulanish va jurnallarni tekshiring, shundan keyingina keyingisiga o'ting. Eski sertifikat xotirada qolgan holda muvaffaqiyatli ko'ringan qayta yuklash marshrutlash muammosiga o'xshash nomuvofiqlik keltirib chiqaradi. Qayta ishga tushirish arzon; overlayning yarmi hali ham eski ko'rinishda ko'radigan shaxsni tuzatish arzon emas.
Shaxsni olib tashlash blok ro'yxatini talab qiladi
Yo'qolgan yoki oshkor bo'lgan guvohnomani almashtirishning ikki yarmi bor. Yangi sertifikat kirishni tiklaydi, eski shaxs esa qabul qilinishni to'xtatishi kerak. Bular alohida amallar va faqat birinchisini bajarish buzilgan guvohnomani amalda qoldiradi.
Blok ro'yxati siz hostlarga tarqatadigan fayl, lighthouse o'zi yuboradigan narsa emas. Bugun oflayn bo'lganlar hamda har bir tugunga qanday yetishini rejalashtiring va qaysi barmoq izlarini bloklaganingizni yozib qo'ying. Chiqaruvchi mashinada kalitni aylantiring va yangi sertifikat tafsilotlarini host yozuvi bilan birga saqlang. Faqat siz tahrirlagan mashinada mavjud bekor qilish bekor qilish emas.