MrE's questions

Eu uso minha própria CA para criar certificados SSL para serviços em minha infra. Esses certificados são assinados diretamente pela minha CA.

Parece-me que esta é provavelmente uma estratégia fraca, como se o certificado fosse comprometido, preciso criar novos a partir de uma CA. Se a CA for comprometida, o jogo terminará, pois todos os serviços precisarão ser atualizados.

Portanto, meu entendimento é que a maneira típica de se 'proteger' e 'diluir' a preocupação é criar uma cadeia de certificados e assinar os certificados de serviço com o final da cadeia, para que, se o signatário for comprometido, o próximo nível acima pode ser usado para criar um novo certificado de assinatura.

Eu entendi direito?

O que eu gostaria de fazer é criar minha própria cadeia de certificados.

Todo o material TLS/SSL ainda é um pouco nebuloso para mim, mas como posso ver, primeiro crie uma chave mestra e, em openssl genrsaseguida, crie um certificado autoassinado usando essa chave openssl req -x509 -newpara criar a CA.

Então posso criar novas chaves e solicitações de assinatura de certificado com openssl req -new -key' and sign the request with my CA withopenssl x509 -req -CA ca.pem ...`

Então, para criar uma cadeia de certificados, o que devo fazer?

Eu simplesmente crio uma nova chave, nova solicitação de assinatura e assino com o último certificado assinado em vez da CA? E assim por diante até que eu tenha níveis suficientes de proteção, então assine todos os pares de certificados/chaves com o certificado de nível mais baixo?

Este material é confuso e eu gostaria de acertar ;-)

Tudo o que encontro apenas sobre TLS é extremamente complicado, enquanto os tutoriais 'simples' são obscuros. Estou procurando nas páginas de manual do openssl, mas gostaria de obter uma explicação simples do processo e, em seguida, garantirei que cada etapa seja correta.

Obrigado por sua visão.

Estou acostumado a encaminhar uma porta de serviço remoto no host local usando ssh como:

ssh -L 2181:localhost:2182 user@server (encaminhar a porta do host remoto 2182 para a porta local 2181)

agora, da máquina para a qual ssh, estou tentando acessar um serviço tcp e encaminhar a resposta para minha máquina local:

local-machine:2181 <-- SSH --> remote-machine:2182 <-- netcat/named pipe --> service:2181

Nota: Não tenho acesso direto à máquina de serviço, só tenho acesso à rede através da máquina para a qual faço SSH.

Eu estava tentando usar o netcat com um pipe nomeado:

Na máquina remota:

mkfifo fifo
nc -k -l 2182 <fifo | nc service 2181 >fifo

Na máquina local: echo message | nc localhost 2181

mas isso não parece funcionar.

Eu também tentei, na máquina remota nc -k -l 2182 0<fifo | nc service 2181 1>fifo

sem sorte

Na máquina remota, nc -k -l 2182emite a mensagem que envio da máquina local: 2181

se eu simplesmente canalizar isso como: nc -k -l 2182 | nc service 2181 vejo a resposta do serviço na máquina remota. Então, posso ir até o serviço e voltar para a máquina remota, mas para por aí:

local-machine:2181 <-/- SSH --> remote-machine:2182 <-- netcat --> service:2181

portanto, não entendo por que o canal nomeado não encaminha a resposta por meio da conexão ssh de volta para minha máquina local.

echo message | nc localhost 2182na máquina remota NÃO gera nada de volta na máquina local, então não está passando por SSH por algum motivo.

Alguma ideia de por que isso acontece e como corrigi-lo?

Obrigado pela ajuda.

(EDITADO para maior clareza) Observação: preciso disso porque só posso fazer SSH para uma máquina, que faz parte de um cluster, e essa máquina tem acesso ao(s) serviço(s). Não quero expor o serviço para fora, nem ter SSHD um a cada contêiner de serviço.

Usar o CoreOS e proteger os diferentes componentes requer TLS.

Há etcd, docker e outros serviços que precisam de CA para assinar certificados. Posso usar o mesmo certificado CA para assinar os diferentes certificados para todos os serviços ou devo realmente criar um CA para cada serviço?

Eu sei que isso é subjetivo e posso obter muitas 'opiniões', mas há realmente algum bom motivo para criar várias CAs?

Digamos que eu tenha vários sites de interface do usuário da Web usados ​​para monitorar serviços de back-end.

Eu gostaria de torná-los acessíveis na web (protegidos por Auth), mas idealmente agrupados em um subdomínio e acessíveis por meio de vários URLs como:

https://monitor.mydomain.com/my-service-monitor/

Usando nginx, se eu usar uma regra de reescrita como

server {
    listen 443 ssl;
    server_name monitor.mydomain.com;
    # auth stuff here...

    location /my-service-monitor/ {
        rewrite                     ^/my-service-monitor(/.*)$ $1 break;
        proxy_pass                  http://my-service-monitor;
    }
} 

o que acontece é que o redirecionamento funciona, mas como todo o conteúdo estático se refere à URL raiz, não aparece como esperado (porque o site de back-end está gerando HTML olhando para a raiz/url, não para a URL relativa monitor.meudomínio .com/my-service-monitor/...

Como posso corrigir esse problema ou existe uma solução mais fácil para isso? (Eu poderia usar vários subdomínios, mas isso é muito fora da exposição IMO)

Eu estava pensando em redirecionar (com um retorno 301 ...) para o URL raiz do subdomínio, mas em uma porta diferente e, em seguida, adicionar um bloco de servidor ouvindo nessa porta proxy para o servidor, mas sinto que isso vai ser problemas com autenticação

Qualquer visão seria apreciada.

Eu sou muito novo no linux e tenho lutado com um problema na última semana ou mais ...

Estou tentando configurar um cluster de contêineres LXC em uma estação de trabalho (host) que possui IP 192.168.10.33 conectando-se a um gateway com IP 192.168.10.1

os nós LXC são por padrão conectados à ponte lxcbr0 com IP 10.0.3.1, os contêineres possuem IP entre 10.0.3.111 e 10.0.3.120

Posso fazer ping em cada contêiner do host, posso fazer ping na ponte (10.0.3.1) dos contêineres, bem como no IP do host (eth0, 192.168.10.33), mas não consigo acessar o gateway (192.168.10.1). li uma infinidade de postagens e man pages sobre rede, iptables e roteamento, mas nada funcionou até agora (definindo gw padrão, encaminhamento de ip...)

Se eu configurar a ponte lxcbr0 para estar em 192.168.10.33 (o IP do host) e meus contêineres para obter IP no mesmo intervalo de IP (192.168.10.111 a 120), funcionará bem.

Gostaria de entender como devo fazer a ponte entre 2 redes com diferentes intervalos de IP conforme mencionado (bridging 192.168.10.0/24 com 10.0.3.0/24) ???

(como isenção de responsabilidade, desativei o firewall e qualquer coisa que pudesse impedir o acesso ao gateway em primeiro lugar, posso acessá-lo do host)

qualquer insight para me apontar na direção certa seria apreciado. obrigada