Não entendo como resolver o problema da galinha ou do ovo ao automatizar a instalação dos servidores.
Eu tenho uma série de servidores que podem ser reconstruídos através do PXE. Quando uma máquina está sendo reconstruída, ela carrega todas as configurações de que precisa—incluindo seu certificado privado que usará para se autenticar ao usar serviços diferentes posteriormente—de um servidor Apache. Este servidor Apache identifica os clientes por seus endereços IP para servir-lhes a configuração ou o certificado destinado a um determinado servidor, ou se recusar a atendê-lo.
No entanto, o endereço IP de um cliente pode ser falsificado. O mesmo para o endereço MAC, se em algum momento eu adicionar esse tipo de verificação também.
Para obter sua configuração e seu certificado privado com segurança, a máquina que inicializa através do PXE deve, portanto, já ter um certificado que possa usar ao se comunicar com o servidor Apache. Isso, no entanto, não parece possível, pois uma máquina que inicializa a partir do PXE é nova ou formatará seu disco de qualquer maneira durante a instalação.
Estou esquecendo de algo? Como posso identificar uma máquina nova sem o risco de falsificação?
Devo usar uma chave USB sempre conectada que contém a chave privada? Ou existem outras opções?