Easy-RSA sê die PKI ontbreek? Dit kyk elders

Die opdrag stop met 'n ontbrekende ca.crt of 'n ontbrekende index.txt, terwyl die CA al maande lank sertifikate uitreik. Niks het aan die gesag verander nie; die opdrag het bloot elders gekyk. Easy-RSA 3 bepaal 'n PKI-gids uit 'n opsie, 'n omgewingsveranderlike, 'n vars-lêer en 'n ingeboude verstekwaarde, en enige van dié kan wegwys van die ontplooiing se gesag. Kontroleer watter een gewen het voordat jy iets skep.

Die fout noem 'n lêer, nie 'n gids nie

Die installasiegids en die uitreikergids is twee verskillende plekke. Om easyrsa op die masjien te vind bewys net dat die gereedskap geïnstalleer is, nie dat dit die gesag gevind het wat jou VPN vertrou nie.

Daarom voel dit produktief om die pakket te herinstalleer of die init-stap weer te hardloop, en tog verander dit niks.

Kontroleer eers die kieser

In Easy-RSA 3 is die kieser EASYRSA_PKI of die ooreenstemmende --pki-dir-opsie. Gee 'n absolute pad soos --pki-dir=/srv/pki/office en die antwoord hou op om daarvan af te hang waar jy toevallig gestaan het. Dié een gewoonte skakel 'n hele klas van hierdie fout uit, veral vir skripte wat uit cron of uit 'n CI-checkout hardloop.

Bevestig eers die generasie, want die Easy-RSA 2-gewoonte van 'n vars-lêer plus build-key is 'n ander model as dié wat Easy-RSA 3 verwag. easyrsa --version druk die generasie voordat dit enigiets anders doen, en ./easyrsa --help lys die subopdragte: 'n build-key-teiken beteken 2.x, terwyl build-client-full vir 3.x staan. Om 'n ou KEY_DIR-pad na 'n 3.x-aanroep te dra omdat die gidsnaam bekend lyk, lewer presies hierdie fout.

As die weergawestring en die opdragsinstandhouding nie ooreenstem nie, stop en lees die geïnstalleerde vrystelling se eie dokumentasie.

Voorrang verduidelik 'n vars-lêer wat verloor het

Die gedokumenteerde voorrang is opdragreëlopsie, dan omgewing, dan vars-lêer, dan ingeboude verstek. 'n Korrekte waarde in vars verloor dus teen 'n geërfde omgewingsveranderlike, en dit is die stil weergawe van hierdie mislukking. Ondersoek die beoogde veranderlikes en die lêerkeuse eerder as om die hele omgewing in 'n kaartjie te stort. Die verskil tussen die twee is gewoonlik 'n geheim.

Stap die ketting in volgorde deur en let op watter bron die pad gelewer het wat die opdrag gebruik het. Sodra jy dit weet, is die oplossing 'n vlag of 'n export eerder as 'n nuwe sertifikaatowerheid.

Die Easy-RSA-konfigurasieverwysing definieer die kieser en die voorrang, en dit is die aanhaling wat in die kaartjie hoort.

Bevestig die uitreiker met openbare materiaal

Lees by die gewone lêergebaseerde uitreiker ca.crt en pas sy vingerafdruk by die uitreikerrekord wat jy goedgekeur het. 'n Ooreenstemmende subjeknaam is nie identiteitsbewys nie, en 'n gids met die naam production is dit ook nie. Net die vingerafdruk verbind die lêer wat jy gevind het met die gesag wat jou eweknieë vertel is om te vertrou.

'n Leesalleen-kontrole is genoeg: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Bepaal dan die gids se rol. 'n Versoekgids wat 'n kliënt gebruik is nie 'n uitreikerdatabasis nie, en 'n ondertekeningsleutel wat offline gehou word het niks op elke VPN-gasheer te soek nie. 'n Ontbrekende ca.key is 'n ontwerpeienskap in daardie uitleg, nie toestemming om 'n vervangingsgesag te bedink nie.

As die toestand regtig weg is

Soms is die pad reg en die toestand is werklik nie daar nie. 'n Leë index.txt en 'n herbegin serienommer gee jou 'n PKI wat gesond lyk en niks oor die sertifikate kan bewys wat dit nooit gesien het nie: hernuwings sal nie die oues herroep nie, en die nuwe nommers sal met die geskiedenis bots. Herstel eerder uit die CA se goedgekeurde rugsteun, want om elders 'n leë PKI te inisialiseer skuif net die fout en laat 'n tweede, onverwante gesag agter.

Sodra die pad en die uitreiker ooreenstem, hanteer die volgende fout op sy meriete. Permission denied, 'n ondertekeningsleutel wat sy wagfrase nodig het, en 'n ontbrekende uitreikingsrekord is drie verskillende foute, en net een van hulle gaan oor die gids wat jy pas reggemaak het.

Moet nooit sleutelversleuteling stroop of gidsregte verbreed om 'n padfout te bedek nie. Die fout is goedkoop om reg te maak; die herstel is nie.