Vladimir
Подписывать мастер ключём, либо иметь репу + обеспечить доступ к ней, что равнозначно по большей мере
Anton
Это плохо?
Vladimir
Хз относительно, точно не система с устойчивостью к византийцам)
Anton
сопрут у тебя мастерключ - и могут клепать еще клиентов
Vladimir
Да
Anton
скомпроментировали мастерключ - обновить его на 2к клиентов?
Anton
сертификаты?
Vladimir
Также как у вас в репе
Anton
не так же
Vladimir
Имеют доступ к одному репозиторию
Anton
у нас хранятся ПБЛИЧНЫЕ КЛЮЧИ УСТРОЙСТВ
Vladimir
Оттуда черпают ключи
Vladimir
Эмм и?)
Anton
удаляешь с впн pub ключ - все устройство больше не может попасть в сеть
Vladimir
Как ты докажет что ключ валидный, а не ключ злоумышленника
Vladimir
Да, но где доказательство что этот ключ валидный
Anton
почитай что такое tinc
Anton
Потом можешь задать оставшиеся вопросы =)
Vladimir
В двух словах пересеажи
Anton
попав в сеть это не значит что можно гулять на право на лево
Vladimir
Я понимаю
Anton
это тоже не забывай - все серваки достук по некоторым ip + ssh
Vladimir
Я всё ещё обсуждаю процедуру добавления ключей
Vladimir
Причём тут вообще Впн ?
Anton
хорошо
Anton
представь у меня хранятся паблик ключи коли пети васи
Anton
стоит мониторинг их девайсов
Anton
ктото подменяет ключь петя
Anton
мониторинг говорит что больше сервис на ip 10.30.1.2 больше не доступен
Anton
один из админов пробует зайти на девайс по ssh
Anton
не выходит
Anton
удаляем ключ пети - техник с клавой идет к устройству
Anton
пети
Anton
генерирует новый ключ - передает админам
Anton
ну мне в данном примере
Anton
в чем проблемма?
Vladimir
Ну вот передал админам
Vladimir
Что дальше
Vladimir
Как он попал тебе?
Anton
по почте допустим
Vladimir
Откуда?
Vladimir
От админа?
Anton
от техника
Vladimir
Ты админ?
Anton
мне на почту - я добавлю его в репку и на vpn сервак
Vladimir
Я думал в этой сети ты часть узлов
Anton
мы рассмытриваем пример в котором я админ
Vladimir
Окей
Vladimir
Вот когда ты добавил в репку
Anton
я только узел сети
Vladimir
Это равносильно тому что ты подписал его
Anton
но входные точки "серваки" 3
Anton
если со всех удалить ключь одной ноды - она перестанет видеть другие
Anton
так как её трафик перестанет обслуживатся
Vladimir
Я понимаю
Vladimir
Ещё раз повторю
Vladimir
Вот когда ты добавил в репку
Vladimir
Это равносильно тому что ты подписал его
Anton
хорошо, дальше?
Vladimir
Дальше теже проблемы что и если сопрут мастер ключ
Vladimir
Как ты говорил)
Vladimir
Любой сможет добавить девайч
Vladimir
Также если у тебя сопрут доступ к репозиторию
Vladimir
Любой сможет добавить девайч
Anton
он может добавить ключ в репку
Anton
а ведь еще нужно добавить на сервак
Vladimir
На какой?
Anton
vpn
Vladimir
Или эти 3 справка отдают ключи?
Anton
нет
Vladimir
Какую роль Репка играет?
Anton
они рулят трафик мужду нодами - поскольку ключи только у них
Anton
репка хранилище ключей
Anton
с историей
Vladimir
А
Vladimir
Понял
Vladimir
Т.е. меш это не частный п2п
Anton
по факту ключи оттуда никогда не достаются, разве что при открытии еще одной точки входа
Vladimir
Ну окей, тогда у тебя 3 равнозначные точки отказа - серваки
Vladimir
А Репка я так и не понял для кого