Easy-RSA-registreringsfejl i Windows: kontroller registreringsvisningen

Batchfilen stopper med meddelelsen “Systemet kunne ikke finde den angivne registreringsnøgle eller -værdi”, og alle antager, at certifikatmyndigheden er ødelagt. Det er den ikke, eller i det mindste ikke endnu: scriptet fejlede, mens det ledte efter software, før det bad Easy-RSA om at gøre noget som helst med en nøgle. Den rækkefølge betyder noget, fordi den betyder, at reparationen er et søgeproblem, og at PKI'et er tilskuer. At læse den fejlende linje er hele diagnosen, og det tager kortere tid end nogen af omvejene.

Fejlen opstår, før CA'en overhovedet berøres

Gamle Easy-RSA 2-batchfiler finder OpenSSL eller installationen af OpenVPN ved at forespørge i registret og sætter derefter variabler ud fra det, de finder. Når forespørgslen ikke returnerer noget, afbryder scriptet, før nogen certifikatoperation kører.

En meddelelse om en registreringsnøgle er derfor evidens om scriptets miljø, ikke om CA-mappen.

To registreringsvisninger, én batchfil

En 32-bit-proces og en 64-bit-proces kan se forskellige registreringsvisninger, og en batchfil, der antager den ene, kan misse den post, der findes i den anden. Disse sammenligninger, der kun læser, viser forskellen for den gamle nøgle, som nogle gamle scripts bruger:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referencen for reg query dokumenterer visningsvælgerne. Kør begge i samme kontekst som det fejlende script, fordi visningen afhænger af, hvordan processen startes, og af flagene. Hvis posten kun findes i én visning, skal du sammenligne den sti, den peger på, med de installerede værktøjer, før du ændrer noget. En nøgle, der findes, men peger på en gammel installationsmappe, er en anden fejl end en nøgle, der mangler.

Hvis ingen af visningerne har posten, har installationsprogrammet aldrig oprettet den, og det hjælper ikke at fremstille en værdi i hånden.

Tilføj ikke /reg:64 ubetinget

Den fristende rettelse er at tilføje 64-bit-vælgeren til hver forespørgsel og komme videre. På nogle installationer er det korrekt, og på andre sender det scriptet til en visning, der virkelig intet har.

Skift kun søgningen, efter at du har set, hvilken visning der indeholder den forventede værdi.

At finde frem er ikke PKI-reparation

Denne fejl beviser ikke, at CA-certifikatet, signeringsnøglen, serienummerfilen eller tilbagekaldelsesdatabasen er beskadiget. At køre en clean-all kopieret fra en gammel vejledning ville ødelægge et helt andet sæt objekter og efterlade søgningen brudt. Hold de to aktiviteter adskilt i hovedet og i billetten. Hvis en certifikatoperation senere fejler, skal du vurdere den på dens egne beviser.

Tag en sikkerhedskopi af CA-mappen før ethvert eksperiment, også et, du er sikker på kun læser.

At flytte til Easy-RSA 3 er en migrering

En vedligeholdt opsætning bør bruge den aktuelle pakkes egen launcher og konfigurationsmodel, og Easy-RSA 3 er ikke samme batchfil-arbejdsgang som Easy-RSA 2. Dets quickstart til et nyt PKI er ikke en migreringsinstruktion til en eksisterende myndighed. Før du skifter version, skal du bevare CA-materialet plus udstedelses- og tilbagekaldelsesregistrene og følge den versions opgraderingsvejledning. At initialisere en erstatnings-CA inde i den autoritative mappe for at få en værktøjssøgningsfejl til at forsvinde er den dårligste mulighed på listen.

En versionsændring er et projekt; registreringsfejlen er en eftermiddag.

Den sammenligning, der faktisk løser det

Skriv fire ting ned, og sammenlign dem direkte:

• Hvilket script kørte, og hvilken linje fejlede.
• Hvilken registreringsvisning den linje forespurgte.
• Hvilken eksekverbar sti scriptet forventede.
• Hvilken installation der faktisk findes på maskinen.

Når de fire stemmer overens, er fejlen væk, og ethvert resterende certifikatproblem kan læses på sine egne beviser i stedet for at give CA'en skylden.