Easy-RSA yn dweud bod y PKI ar goll? Mae'n chwilio yn rhywle arall

Mae'r gorchymyn yn stopio gyda ca.crt ar goll neu index.txt ar goll, tra bod y CA wedi bod yn dyroddi tystysgrifau ers misoedd. Nid oes dim wedi newid yn yr awdurdod; mae'r gorchymyn wedi edrych yn rhywle arall yn unig. Mae Easy-RSA 3 yn datrys cyfeiriadur PKI o opsiwn, newidyn amgylchedd, ffeil vars a rhagosodiad adeiledig, a gall unrhyw un o'r rhain bwyntio oddi wrth awdurdod y defnydd. Gwiriwch pa un a enillodd cyn i chi greu unrhyw beth.

Mae'r gwall yn enwi ffeil, nid cyfeiriadur

Mae'r cyfeiriadur gosod a'r cyfeiriadur dyroddwr yn ddau le gwahanol. Dod o hyd i easyrsa ar y peiriant yn profi'n unig bod yr offeryn wedi'i osod, nid ei fod wedi dod o hyd i'r awdurdod y mae eich VPN yn ymddiried ynddo.

Dyna pam mae ailosod y pecyn neu ailredeg y cam init yn teimlo'n gynhyrchiol ac yn newid dim.

Gwiriwch y detholydd cyn unrhyw beth arall

Yn Easy-RSA 3 y detholydd yw EASYRSA_PKI neu'r opsiwn cyfatebol --pki-dir. Rhowch lwybr absoliwt fel --pki-dir=/srv/pki/office, ac mae'r ateb yn stopio dibynnu ar ble roeddech yn sefyll. Mae'r arfer hwn yn dileu dosbarth cyfan o'r nam hwn, yn enwedig ar gyfer sgriptiau a redir o cron neu o setliad CI.

Cadarnhewch y genhedlaeth yn gyntaf, oherwydd bod arfer Easy-RSA 2 o ffeil vars ynghyd â build-key yn fodel gwahanol i'r un y mae Easy-RSA 3 yn ei ddisgwyl. easyrsa --version yn argraffu'r genhedlaeth cyn iddo wneud unrhyw beth arall, ac ./easyrsa --help yn rhestru'r is-gorchmynion: mae targed build-key yn golygu 2.x, tra bod build-client-full yn golygu 3.x. Mae cario hen lwybr KEY_DIR i alwad 3.x am fod enw'r cyfeiriadur yn edrych yn gyfarwydd yn cynhyrchu'r gwall hwn yn union.

Os nad yw'r llinyn fersiwn a chystrawen y gorchymyn yn cytuno, stopiwch a darllenwch ddogfennaeth y rhyddhau sydd wedi'i osod.

Mae blaenoriaeth yn esbonio ffeil vars a gollodd

Y flaenoriaeth a ddogfenwyd yw opsiwn llinell orchymyn, yna amgylchedd, yna ffeil vars, yna rhagosodiad adeiledig. Felly mae gwerth cywir mewn vars yn colli i newidyn amgylchedd a etifeddwyd, a dyna fersiwn dawel y methiant hwn. Archwiliwch y newidynnau bwriadedig a dewis y ffeil yn hytrach na thaflu'r amgylchedd cyfan i docyn. Y gwahaniaeth rhwng y ddau fel arfer yw cyfrinach.

Ewch drwy'r gadwyn yn nhrefn a nodwch pa ffynhonnell a roddodd y llwybr a ddefnyddiwyd gan y gorchymyn. Unwaith y byddwch yn gwybod hynny, y cywiriad yw baner neu export, nid awdurdod tystysgrif newydd.

Mae cyfeirlyfr ffurfweddu Easy-RSA yn diffinio'r detholydd a'r flaenoriaeth, a dyna'r dyfyniad i'w roi yn y tocyn.

Cadarnhewch y dyroddwr gyda deunydd cyhoeddus

Gyda'r dyroddwr arferol sy'n seiliedig ar ffeiliau, darllenwch ca.crt a chyfateb ei ôl bys i'r cofnod dyroddwr a gymeradwywyd gennych. Nid yw enw pwnc sy'n cyfateb yn dystiolaeth o hunaniaeth, ac nid yw cyfeiriadur o'r enw production ychwaith. Dim ond yr ôl bys sy'n cysylltu'r ffeil a ddaethoch o hyd iddi â'r awdurdod y dywedwyd wrth eich cymheiriaid i ymddiried ynddo.

Mae digon o wiriad darllen yn unig: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Yna sefydlwch rôl y cyfeiriadur. Nid yw cyfeiriadur ceisiadau y mae cleient yn ei ddefnyddio yn gronfa ddata dyroddwr, ac nid oes gan allwedd lofnodi a gedwir all-lein unrhyw fusnes ar bob gwesteiwr VPN. Mae ca.key ar goll yn briodwedd dylunio yn y cynllun hwnnw, nid yn ganiatâd i ddyfeisio awdurdod amnewid.

Os yw'r cyflwr wir wedi diflannu

Weithiau mae'r llwybr yn iawn ac nid yw'r cyflwr wir yno. Mae index.txt gwag a chownter cyfresol wedi'i ailddechrau yn rhoi PKI i chi sy'n edrych yn iach ac na all brofi dim am y tystysgrifau na welodd erioed: ni fydd adnewyddiadau yn dirymu'r hen rai, a bydd y rhifau newydd yn gwrthdaro â hanes. Adferwch o gopi wrth gefn cymeradwy'r CA yn lle hynny, oherwydd nid yw cychwyn PKI gwag yn rhywle arall ond yn symud y gwall ac yn gadael ail awdurdod, di-gysylltiad, ar ôl.

Unwaith y bydd y llwybr a'r dyroddwr yn cytuno, cymerwch y methiant nesaf ar ei deilyngdod. Permission denied, allwedd lofnodi sydd angen ei chyfrinair, a chofnod dyroddi ar goll yw tri nam gwahanol, a dim ond un ohonynt sy'n ymwneud â'r cyfeiriadur yr ydych newydd ei drwsio.

Peidiwch byth â stribedu amgryptio allweddol nac ehangu caniatâd cyfeiriaduron i orchuddio camgymeriad llwybr. Mae'r camgymeriad yn rhad i'w drwsio; nid yw'r atgyweiriad.