Nebula cần ba tệp: CA, chứng chỉ máy chủ và khóa máy chủ

Nếu đưa cho ai đó một thư mục Nebula, họ thường sao chép tất cả, kể cả tệp không bao giờ được rời khỏi máy trạm của bạn. Sự nhầm lẫn dễ hiểu, vì ba tệp trong khối PKI của một máy chủ trông giống nhau và hai trong số đó là chứng chỉ. Mỗi tệp trả lời một câu hỏi khác nhau, và chỉ hai tệp thuộc về nút. Hãy phân loại theo vai trò trước khi sao chép bất cứ thứ gì.

Ba tệp, ba công việc khác nhau

Chứng chỉ CA là mỏ neo tin cậy: nó cho máy chủ biết phải tin cậy những nhà cấp nào khi một máy chủ khác trình bày danh tính của mình. Chứng chỉ máy chủ là thông tin xác thực của chính nút, được nhà cấp đó ký. Khóa máy chủ là nửa riêng tư tương ứng, và nó thuộc về đúng một máy. Một nút có chứng chỉ CA và cặp khóa riêng có thể tham gia overlay và chứng minh mình là ai. Một nút có khóa của người khác cũng có thể mạo nhận người đó, và đây chính là sự cố mà cách bố trí này tồn tại để ngăn ngừa.

Vì vậy sao chép một thư mục máy chủ đang hoạt động sang máy thứ hai không phải là lối tắt. Đó là một danh tính trùng lặp với kết quả có thể đoán trước.

Khóa ký không bao giờ di chuyển

Khóa ký của CA không thuộc bất kỳ cấu hình máy chủ nào. Nó tạo ra danh tính mới, và ai giữ nó có thể tạo chứng chỉ cho bất kỳ địa chỉ overlay và bất kỳ nhóm nào. Các peer chỉ cần chứng chỉ CA công khai để xác minh chữ ký, nên nửa riêng tư hoàn toàn không có vai trò gì trên máy khách. Hãy giữ nó trên máy nơi chứng chỉ được cấp, và coi một bản sao vô tình là sự cố chứ không phải tiện lợi.

Nếu nhiều người cần cấp chứng chỉ, hãy cho họ một quy trình thay vì một bản sao của khóa. Khóa ký dùng chung trên máy tính xách tay là quyền lực mà không ai có thể kiểm toán hay thu hồi.

Bên trong chứng chỉ máy chủ có gì

Chứng chỉ máy chủ ràng buộc nhiều thứ hơn một tên tệp với một khóa. Nó mang địa chỉ overlay của nút, tên và tư cách thành viên nhóm, tất cả đều được ký để peer có thể quyết định có chấp nhận hay không. Đó là lý do đổi tên máy chủ nghĩa là cấp chứng chỉ mới, chứ không phải sửa một dòng cấu hình.

nebula-cert print -path host.crt cho thấy thực tế đã cấp những gì. Hãy đọc trước khi cho rằng chứng chỉ mang địa chỉ bạn dự định.

Tải lại không phải lúc nào cũng đủ

Một số cài đặt PKI được tải lại khi có tín hiệu, một số thì không.Một chứng chỉ đã thay đổi địa chỉ overlay là trường hợp kinh điển cần khởi động lại tiến trình thay vì tải lại.

Xác nhận tiến trình đang chạy thực sự đã mở những đường dẫn nào, không chỉ những đường dẫn mà tệp cấu hình nêu ra. Sau đó thay một thông tin xác thực, kiểm tra kết nối và nhật ký, rồi mới chạm vào cái tiếp theo. Một lần tải lại có vẻ thành công trong khi chứng chỉ cũ vẫn nằm trong bộ nhớ tạo ra sự không khớp trông giống sự cố định tuyến. Khởi động lại thì rẻ; gỡ lỗi một danh tính mà nửa overlay vẫn nhìn theo cách cũ thì không rẻ.

Xóa một danh tính cần danh sách chặn

Thay thế một thông tin xác thực bị mất hoặc bị lộ có hai nửa. Chứng chỉ mới khôi phục quyền truy cập, và danh tính cũ phải ngừng được chấp nhận. Đây là hai thao tác riêng biệt, và chỉ làm thao tác đầu sẽ để thông tin xác thực bị xâm phạm vẫn còn hiệu lực.

Danh sách chặn là một tệp bạn phân phối cho các máy chủ, không phải thứ mà lighthouse tự đẩy ra. Hãy lên kế hoạch để nó đến được mọi nút, kể cả những nút đang ngoại tuyến hôm nay, và ghi lại những dấu vân tay bạn đã chặn. Xoay khóa trên máy cấp và lưu thông tin chứng chỉ mới cùng hồ sơ máy chủ. Một sự thu hồi chỉ tồn tại trên máy bạn đã sửa không phải là thu hồi.