cert8.db is nie ’n weggooibare kas nie: kontroleer die eienaar van die stoor

’n Ou ondersteuningsdraad sê jy moet ’n lêer genaamd cert8.db verwyder, en dan werk die VPN weer. Daardie volgorde is meer dikwels ’n toeval as ’n oplossing. Die lêer is ’n sertifikaatdatabasis, en om dit te verwyder verander blywende sekuriteitstoestand op maniere wat ’n suksesvolle bekendstelling nie wys nie.

’n Bevrore aanmelding is nie ’n kasprobleem nie

’n Blaaierkas stoor afskrifte van hulpbronne; ’n sertifikaatdatabasis stoor vertrouebesluite, sertifikate en die sleutels wat daarmee saamgaan. Om die tweede te verwyder is nader aan die herstel van ’n identiteit as aan die skoonmaak van geskiedenis. As die kliënt tydens aanmelding gevries het, is die nuttige bewyse watter proses watter profiel oopgemaak het en wat dit gelog het, nie watter lêer ’n forumplasing verwyder het nie. Om die vriesing te reproduseer en die kliëntlog te lees neem langer as om ’n lêer te verwyder, en dit is die enigste pad na ’n werklike oorsaak.

Die lêernaam dra ook geskiedenis: NSS onderskei die ou cert8.db en key3.db van die SQLite cert9.db en key4.db. Skryf die logreël neer wat jy voor die vriesing gesien het, want dit is die enigste blywende bewys wat jy het.

Watter profiel maak die kliënt werklik oop

Identifiseer die kliënt, sy verifikasiemetode en die stoor wat hy lees. Drie aanmeldroetes bestaan hier: blaaierondersteun, ingebedde blaaier en inheemse kliënt, en hulle hoef nie ’n profiel te deel nie. ’n Databasis met die regte naam in ’n ander gids is nie bewys dat die gevriesde proses dit oopgemaak het nie. Op Linux woon die NSS-stoor gewoonlik onder die gebruiker se ~/.pki/nssdb of ’n toepassing-spesifieke profielgids. Die twee uitlegte kan op een masjien saambestaan, so kontroleer albei wanneer ’n migrasie onlangs was.

Lys wat die stoor bevat voordat jy dit verander: certutil -L -d sql:$HOME/.pki/nssdb druk die sertifikate, en dieselfde gereedskap met -K wys of sleutels teenwoordig is.

As die opdrag meld dat die databasis nie oopgemaak kan word nie, het jy die profiel gevind wat die gereedskap gebruik, nie noodwendig die een wat die VPN gebruik het nie.

Maak ’n rugsteunkopie van die profiel voor enige herstel

Sluit die geaffekteerde toepassings, kopieer dan die hele profielgids deur die goedgekeurde rugsteunmetode. Sertifikaat- en sleuteldatabasisse is verwante maar afsonderlike toestand, en om een willekeurige lêer te stoor is nie ’n herstelplan vir die hele identiteit nie. Beskerm die afskrif, want die profiel kan private sleutels bevat. Teken aan wat jy gerugsteun het en waar, sodat ’n mislukte herstel ’n pad terug het.

Bevestig dan die presiese omvang van die herstel met die instandhouer. ’n Volledige stoorherstel, die verwydering van een bekende verouderde sertifikaat en ’n blaaierprofielherstel is drie verskillende veranderinge met drie verskillende risiko’s.

Meld na die herstel aan en ondersoek die stoor

Meld na ’n gemagtigde herstel by die VPN aan en bevestig dat die bediener se sertifikaat steeds soos bedoel gevalideer word. Kontroleer dat die identiteite wat die werkvloei nodig het steeds teenwoordig is, en dat geen onverwagte vertrouanker verskyn het nie. ’n Herstel wat die verbinding laat werk deur meer as voorheen te vertrou, is nie ’n herstel nie.

Hou die waarneming en die opdrag apart: een verwydering gevolg deur een suksesvolle bekendstelling is nie ’n algemene oplossing nie.

As die vriesing terugkeer, teken die kliëntlog en die profiel in gebruik op voordat jy enigiets anders verander. Daardie rekord is wat ’n raaiskoot in ’n diagnose omskep.