Easy-RSA PKI-nin itdiyini deyir? O, başqa yerə baxır

Komanda ca.crt və ya index.txt olmadığı üçün dayanır, halbuki CA aylardır sertifikat verir. Səlahiyyətli orqanda heç nə dəyişməyib; komanda sadəcə başqa yerə baxıb. Easy-RSA 3 PKI qovluğunu seçimdən, mühit dəyişənindən, vars faylından və daxili standart dəyərdən təyin edir və bunlardan hər hansı biri yerləşdirmənin səlahiyyətli orqanından uzağa işarə edə bilər. Nəyisə yaratmazdan əvvəl hansının qalib gəldiyini yoxlayın.

Xəta qovluğu deyil, faylı adlandırır

Quraşdırma qovluğu və buraxan qovluğu iki fərqli yerdir. easyrsa maşında tapmaq yalnız alətin quraşdırıldığını sübut edir, VPN-inizin etibar etdiyi səlahiyyətli orqanı tapdığını deyil.

Buna görə paketi yenidən quraşdırmaq və ya init addımını təkrar işə salmaq məhsuldar görünür və heç nəyi dəyişmir.

Əvvəlcə seçicini yoxlayın

Easy-RSA 3-də seçici EASYRSA_PKI və ya uyğun --pki-dir seçimidir. Məsələn --pki-dir=/srv/pki/office kimi mütləq yol verin və cavab artıq təsadüfən harada dayandığınızdan asılı olmaz. Bu bir vərdiş bu xətanın bütöv bir sinfini aradan qaldırır, xüsusən cron-dan və ya CI nüsxəsindən işləyən skriptlər üçün.

Əvvəlcə nəsli təsdiqləyin, çünki Easy-RSA 2-nin vars faylı və build-key vərdişi Easy-RSA 3-ün gözlədiyindən fərqli bir modeldir. easyrsa --version heç nə etməzdən əvvəl nəsli çap edir və ./easyrsa --help alt əmrləri sadalayır: build-key hədəfi 2.x deməkdir, halbuki build-client-full 3.x deməkdir. Köhnə KEY_DIR yolunu qovluq adı tanış göründüyü üçün 3.x çağırışına daşımaq məhz bu xətanı yaradır.

Əgər versiya sətri ilə əmr sintaksisi uyğun gəlmirsə, dayanın və quraşdırılmış buraxılışın öz sənədlərini oxuyun.

Üstünlük sırası uduzmuş vars faylını izah edir

Sənədləşdirilmiş üstünlük sırası əmr sətri seçimi, sonra mühit, sonra vars faylı, sonra daxili standartdır. Buna görə vars düzgün dəyəri miras alınmış mühit dəyişəninə uduzur və bu, bu nasazlığın səssiz versiyasıdır. Bütün mühiti bilete tökmək əvəzinə nəzərdə tutulan dəyişənləri və fayl seçimini yoxlayın. İkisi arasındakı fərq adətən bir sirdir.

Zənciri sıra ilə gəzin və komandanın istifadə etdiyi yolu hansı mənbənin verdiyini qeyd edin. Bunu bildikdən sonra düzəliş yeni sertifikat orqanı deyil, bayraq və ya export olur.

Bu Easy-RSA konfiqurasiya arayışı seçicini və üstünlük sırasını müəyyən edir və bilete yazılacaq istinad məhz budur.

Buraxanı açıq materialla təsdiqləyin

Adi fayl əsaslı buraxanda ca.crt oxuyun və barmaq izini təsdiqlədiyiniz buraxan qeydi ilə uyğunlaşdırın. Uyğun subyekt adı şəxsiyyət sübutu deyil, production adlı qovluq da deyil. Yalnız barmaq izi tapdığınız faylı həmyaşıdlarınıza etibar etmələri deyilən səlahiyyətli orqanla bağlayır.

Yalnız oxuma yoxlaması kifayətdir: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Sonra qovluğun rolunu müəyyənləşdirin. Müştərinin istifadə etdiyi sorğu qovluğu buraxan verilənlər bazası deyil və oflayn saxlanılan imzalama açarının hər VPN hostunda yeri yoxdur. İtmiş ca.key həmin düzülüşdə dizayn xüsusiyyətidir, əvəzedici səlahiyyətli orqan uydurmaq üçün icazə deyil.

Əgər vəziyyət həqiqətən itibsə

Bəzən yol düzdür və vəziyyət həqiqətən orada deyil. Boş index.txt və yenidən başladılmış seriya sayğacı sizə sağlam görünən, lakin heç vaxt görmədiyi sertifikatlar haqqında heç nə sübut edə bilməyən PKI verir: yeniləmələr köhnələri ləğv etməyəcək və yeni nömrələr tarixlə toqquşacaq. Bunun əvəzinə CA-nın təsdiqlənmiş ehtiyat nüsxəsindən bərpa edin, çünki başqa yerdə boş PKI işə salmaq yalnız xətanı köçürür və arxada ikinci, əlaqəsiz səlahiyyətli orqan qoyur.

Yol və buraxan uyğunlaşdıqdan sonra növbəti nasazlığı mahiyyətinə görə həll edin. Permission denied, parol ifadəsinə ehtiyacı olan imzalama açarı və itmiş buraxılış qeydi üç fərqli nasazlıqdır və yalnız biri indicə düzəltdiyiniz qovluqla bağlıdır.

Yol səhvini ört-basdır etmək üçün heç vaxt açar şifrələməsini sökməyin və ya qovluq icazələrini genişləndirməyin. Səhvi düzəltmək ucuzdur; bərpası deyil.