Easy-RSA siger, at PKI'en mangler? Den kigger et andet sted

Kommandoen stopper med en manglende ca.crt eller en manglende index.txt, selvom CA'en har udstedt certifikater i månedsvis. Der er ikke ændret noget ved autoriteten; kommandoen har blot kigget et andet sted. Easy-RSA 3 finder en PKI-mappe ud fra en indstilling, en miljøvariabel, en vars-fil og en indbygget standardværdi, og enhver af dem kan pege væk fra installationens autoritet. Tjek hvilken der vandt, før du opretter noget.

Fejlen nævner en fil, ikke en mappe

Installationsmappen og udstedermappen er to forskellige steder. At finde easyrsa på maskinen beviser kun, at værktøjet er installeret, ikke at det har fundet den autoritet, som din VPN stoler på.

Derfor virker det produktivt at geninstallere pakken eller køre init-trinnet igen, og det ændrer intet.

Tjek vælgeren før alt andet

I Easy-RSA 3 er vælgeren EASYRSA_PKI eller den tilsvarende --pki-dir indstilling. Angiv en absolut sti som --pki-dir=/srv/pki/office, og svaret holder op med at afhænge af, hvor du tilfældigvis stod. Den ene vane fjerner en hel klasse af denne fejl, især for scripts, der køres fra cron eller fra et CI-checkout.

Bekræft først generationen, fordi Easy-RSA 2-vanen med en vars-fil plus build-key er en anden model end den, Easy-RSA 3 forventer. easyrsa --version udskriver generationen, før den gør noget andet, og ./easyrsa --help lister underkommandoerne: et build-key-mål betyder 2.x, mens build-client-full betyder 3.x. At tage en gammel KEY_DIR-sti med ind i et 3.x-kald, fordi mappenavnet ser bekendt ud, giver præcis denne fejl.

Hvis versionsstrengen og kommandosyntaksen ikke stemmer overens, så stop og læs den installerede udgivelses egen dokumentation.

Forrang forklarer en vars-fil, der tabte

Den dokumenterede forrang er kommandolinjeindstilling, derefter miljø, derefter vars-fil, derefter indbygget standard. En korrekt værdi i vars taber derfor til en nedarvet miljøvariabel, og det er den stille version af denne fejl. Undersøg de tilsigtede variabler og filvalget i stedet for at dumpe hele miljøet i en ticket. Forskellen mellem de to er normalt en hemmelighed.

Gå kæden igennem i rækkefølge, og noter hvilken kilde der leverede den sti, kommandoen brugte. Når du ved det, er rettelsen et flag eller et export, ikke en ny certifikatmyndighed.

Easy-RSA konfigurationsreference definerer vælgeren og forrangen, og det er den citering, der skal i ticketen.

Bekræft udstederen med offentligt materiale

Læs ved den sædvanlige filbaserede udsteder ca.crt og sammenlign dets fingeraftryk med den udstederpost, du godkendte. Et matchende subjektnavn er ikke identitetsbevis, og en mappe med navnet production er det heller ikke. Kun fingeraftrykket binder den fil, du fandt, til den autoritet, dine peers blev bedt om at stole på.

En skrivebeskyttet kontrol er nok: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Fastlæg derefter mappens rolle. En anmodningsmappe, som en klient bruger, er ikke en udstederdatabase, og en signeringsnøgle, der opbevares offline, har intet at gøre på hver VPN-vært. En manglende ca.key er en designegenskab i det layout, ikke tilladelse til at opfinde en erstatningsautoritet.

Hvis tilstanden virkelig er væk

Nogle gange er stien rigtig, og tilstanden er virkelig ikke der. En tom index.txt og en genstartet serietæller giver dig en PKI, der ser sund ud og ikke kan bevise noget om de certifikater, den aldrig har set: fornyelser vil ikke tilbagekalde de gamle, og de nye numre vil kollidere med historikken. Gendan i stedet fra CA'ens godkendte backup, fordi initialisering af en tom PKI et andet sted blot flytter fejlen og efterlader en anden, ubeslægtet autoritet.

Når stien og udstederen stemmer overens, tag den næste fejl på dens egne vilkår. Permission denied, en signeringsnøgle, der kræver sin adgangsfrase, og en manglende udstedelsespost er tre forskellige fejl, og kun én af dem handler om den mappe, du lige har rettet.

Fjern aldrig nøglekryptering eller udvid mappetilladelser for at dække over en stifejl. Fejlen er billig at rette; reparationen er ikke.