Безопасность puppet-клиента

Чем подменённый сервер с валидными сертификатами будет отличаться от настоящего?

>Но вот защищён ли клиент от подмены сервера?

Никто ни от чего не защищен, в общем-то. Но подменить сервер с сертификатом достаточно трудоемкая задача.

Гораздо интереснее, среагирует ли puppet-клиент на подмену сервера (с другим, разумеется, сертификатом) хоть как нибудь, или же тупо запросит новый сервер подписать клиентский сертификат повторно и затем применит предложенный конфиг

А если не подделывать/красть сертификат, а создать поддельный сервер со своим собственным, новым сертификатом?

При первом запуске puppet отправляет на сервер запрос сертифката. Если подменить сервер после этого, обнаружит ли puppet-клиент подмену или повторно выполнит запрос клиентского сертификата? Вот что интересно

Ну что, ответ нашёл? Интересно же.

Голова другим была забита. Сейчас проверил - запроса не посылает, ругается на сертификат

Jan 17 14:58:28 anonymous puppet-agent[1268]: Could not send report: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed

Т.е. всё в порядке :)