Easy-RSA-registerfout in Windows: kyk na die registeraansig

Die batch-lêer stop met “Die stelsel kon nie die gespesifiseerde registersleutel of -waarde vind nie” en almal aanvaar die sertifikaatowerheid is stukkend. Dit is nie, of ten minste nog nie: die script het gefaal terwyl hy na sagteware gesoek het, voordat hy Easy-RSA gevra het om enigiets met 'n sleutel te doen. Daardie volgorde maak saak, want dit beteken die herstel is 'n soekprobleem en die PKI is 'n omstander. Om die falende reël te lees is die hele diagnose, en dit neem minder tyd as enige van die workarounds.

Die fout gebeur voordat die CA aangeraak word

Ou Easy-RSA 2-batchlêers vind OpenSSL of die OpenVPN installasie deur die register te bevraag, en stel dan veranderlikes op grond van wat hulle vind. Wanneer die navraag niks teruggee nie, stop die script voordat enige sertifikaatbewerking plaasvind.

'n Boodskap oor 'n registersleutel is dus bewyse oor die script se omgewing, nie oor die CA-gids nie.

Twee registeraansigte, een batch-lêer

'n 32-bis-proses en 'n 64-bis-proses kan verskillende registeraansigte sien, en 'n batch-lêer wat een aanvaar, kan die inskrywing mis wat in die ander een bestaan. Hierdie lees-alleen-vergelykings wys die verskil vir die ou sleutel wat sommige ou scripte gebruik:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Die reg query-verwysing dokumenteer die aansigkeuses. Voer albei uit in dieselfde konteks as die falende script, want die aansig hang af van hoe die proses begin sowel as van die vlae. As die inskrywing net in een aansig bestaan, vergelyk die pad waarna dit wys met die geïnstalleerde gereedskap voordat jy enigiets verander. 'n Sleutel wat bestaan maar na 'n ou installasiegids wys, is 'n ander fout as 'n sleutel wat ontbreek.

As geen van die twee aansigte die inskrywing het nie, het die installeerder dit nooit geskep nie, en om 'n waarde met die hand te maak sal nie die gereedskap laat werk nie.

Moenie /reg:64 onvoorwaardelik byvoeg nie

Die aanloklike oplossing is om die 64-bis-kieser by elke navraag te voeg en aan te beweeg. By sommige installasies is dit korrek, en by ander stuur dit die script na 'n aansig wat werklik niks het nie.

Verander die soektog eers nadat jy gesien het watter aansig die verwagte waarde hou.

Ontdekking is nie PKI-herstel nie

Hierdie fout bewys nie dat die CA-sertifikaat, ondertekeningsleutel, reekslêer of herroepingsdatabasis beskadig is nie. Om 'n clean-all uit 'n ou tutoriaal te kopieer en te hardloop, sal 'n heeltemal ander stel objekte vernietig terwyl die soektog stukkend bly. Hou die twee aktiwiteite apart in jou kop en in die kaartjie. As 'n sertifikaatbewerking later misluk, beoordeel dit op sy eie bewyse.

Maak 'n rugsteun van die CA-gids voor enige eksperiment, selfs een waarvan jy seker is dat dit net-lees is.

Om na Easy-RSA 3 oor te skakel is 'n migrasie

'n Onderhoude opstelling moet die huidige pakket se eie launcher en konfigurasiewyse gebruik, en Easy-RSA 3 is nie dieselfde batch-lêer-werkvloei as Easy-RSA 2 nie. Sy vinnige begin vir 'n nuwe PKI is nie 'n migrasie-instruksie vir 'n bestaande owerheid nie. Voordat jy weergawes verander, bewaar die CA-materiaal plus die uitreikings- en herroepingsrekords, en volg daardie weergawe se opgraderingsleiding. Om 'n vervangende CA in die gesaghebbende gids te initialiseer om 'n gereedskapopsporingsfout te laat verdwyn, is die slegste opsie op die lys.

'n Weergaweverandering is 'n projek; die registerfout is 'n middag.

Die vergelyking wat dit werklik oplos

Skryf vier dinge neer en vergelyk hulle direk:

• Watter script het gehardloop, en watter reël het gefaal.
• Watter registeraansig daardie reël bevraag het.
• Watter uitvoerbare pad die script verwag het.
• Watter installasie werklik op die masjien bestaan.

Wanneer daardie vier ooreenstem, is die fout weg, en enige sertifikaatprobleem wat oorbly, kan op sy eie bewyse gelees word in plaas daarvan om die CA te blameer.