CA黑名单

本文档描述CA黑名单的实践操作，建议阅读本操作文档前请先行了解《CA黑名单介绍》。

CA黑名单的操作包括一节点将他节点列入/移除CA黑名单，通过修改配置文件重启实现。

修改范围

节点config.ini配置有[certificate_blacklist]路径（可选）。[certificate_blacklist]为节点NodeID列表，node.X为本节点拒绝连接的对方节点NodeID。

修改示例

网络中存在三个节点，均互联，节点相关信息为：

节点1的目录名为node0，IP端口为127.0.0.1:30400，nodeID前四个字节为b231b309…

节点2的目录名为node1，IP端口为127.0.0.1:30401，nodeID前四个字节为aab37e73…

节点3的目录名为node2，IP端口为127.0.0.1:30402，nodeID前四个字节为d6b01a96…

A节点将B节点列入CA黑名单

场景描述：

节点1和节点2在群组同一群组中，与群组其余节点轮流出块，现在节点1将节点2加入自身黑名单。

操作顺序：

1 . 对于节点node0，将节点node1的公钥nodeID加入自身的CA黑名单；

  1. $ cat node1/conf/node.nodeid 
  2. aab37e73489bbd277aa848a99229ab70b6d6d4e1b81a715a22608a62f0f5d4270d7dd887394e78bd02d9f31b8d366ce4903481f50b1f44f0e4fda67149208943
  3. $ vim node0/config.ini
  4. ;certificate blacklist
  5. [certificate_blacklist]
  6.     ;crl.0 should be nodeid, nodeid's length is 128 
  7.     crl.0=aab37e73489bbd277aa848a99229ab70b6d6d4e1b81a715a22608a62f0f5d4270d7dd887394e78bd02d9f31b8d366ce4903481f50b1f44f0e4fda67149208943

2 . 重启节点1；

  1. # 在node1目录下执行
  2. $ ./stop.sh
  3. $ ./start.sh
  4. nohup: appending output to ‘nohup.out’

3 . 通过日志确认节点1与节点2不再建立连接，加入黑名单操作完成。

  1. # 在打开DEBUG级别日志前提下，查看自身节点（node2）连接的节点数及所连接的节点信息（nodeID）
  2. # 以下日志表明节点node2与两个节点（节点的nodeID前4个字节为b231b309、aab37e73）建立了连接
  3. $ tail -f node2/log/log*  | grep P2P
  4. debug|2019-02-21 10:30:18.694258| [P2P][Service] heartBeat ignore connected,endpoint=127.0.0.1:30400,nodeID=b231b309...
  5. debug|2019-02-21 10:30:18.694277| [P2P][Service] heartBeat ignore connected,endpoint=127.0.0.1:30401,nodeID=aab37e73...
  6. info|2019-02-21 10:30:18.694294| [P2P][Service] heartBeat connected count,size=2

补充说明：

  • 节点node0添加节点node1到自身CA黑名单的操作，node0将断开与节点node1的网络连接及AMOP通信；

A节点将B节点移除CA黑名单

场景描述：

节点1的CA黑名单中有节点2的nodeID，节点2的CA黑名单中没有节点1的nodeID，现在节点1将节点2移除自身的CA黑名单。

操作顺序：

  • 对于节点1，将节点2的公钥NodeID从自身的CA黑名单移除；
  • 重启节点1；
  • 通过日志确认确认节点1与节点2重新建立连接，移除黑名单操作完成。