Σφάλμα μητρώου του Easy-RSA στα Windows: ελέγξτε την προβολή μητρώου

Το αρχείο παρτίδας σταματά με το μήνυμα “Το σύστημα δεν μπόρεσε να βρει το καθορισμένο κλειδί ή την τιμή μητρώου” και όλοι υποθέτουν ότι η αρχή έκδοσης πιστοποιητικών έχει χαλάσει. Δεν έχει, ή τουλάχιστον όχι ακόμη: το σενάριο απέτυχε ενώ έψαχνε για λογισμικό, πριν ζητήσει από το Easy-RSA να κάνει οτιδήποτε με ένα κλειδί. Αυτή η σειρά έχει σημασία, γιατί σημαίνει ότι η επισκευή είναι πρόβλημα αναζήτησης και το PKI είναι θεατής. Η ανάγνωση της γραμμής που αποτυγχάνει είναι ολόκληρη η διάγνωση και διαρκεί λιγότερο από οποιαδήποτε παράκαμψη.

Το σφάλμα συμβαίνει πριν αγγιχτεί το CA

Τα παλιά αρχεία παρτίδας του Easy-RSA 2 εντοπίζουν το OpenSSL ή την εγκατάσταση του OpenVPN κάνοντας ερώτημα στο μητρώο και μετά ορίζουν μεταβλητές με βάση αυτό που βρίσκουν. Όταν το ερώτημα δεν επιστρέφει τίποτα, το σενάριο τερματίζεται πριν εκτελεστεί οποιαδήποτε λειτουργία πιστοποιητικού.

Ένα μήνυμα για κλειδί μητρώου είναι επομένως απόδειξη για το περιβάλλον του σεναρίου, όχι για τον κατάλογο του CA.

Δύο προβολές μητρώου, ένα αρχείο παρτίδας

Μια διεργασία 32 bit και μια διεργασία 64 bit μπορούν να βλέπουν διαφορετικές προβολές μητρώου, και ένα αρχείο παρτίδας που υποθέτει τη μία μπορεί να χάσει την καταχώριση που υπάρχει στην άλλη. Αυτές οι συγκρίσεις μόνο για ανάγνωση δείχνουν τη διαφορά για το παλιό κλειδί που χρησιμοποιούν ορισμένα παλιά σενάρια:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Η αναφορά του reg query τεκμηριώνει τους επιλογείς προβολής. Εκτελέστε και τις δύο στο ίδιο περιβάλλον με το σενάριο που αποτυγχάνει, γιατί η προβολή εξαρτάται από το πώς ξεκινά η διεργασία καθώς και από τις σημαίες. Αν η καταχώριση υπάρχει μόνο σε μία προβολή, συγκρίνετε τη διαδρομή στην οποία δείχνει με τα εγκατεστημένα εργαλεία πριν αλλάξετε οτιδήποτε. Ένα κλειδί που υπάρχει αλλά δείχνει σε παλιό κατάλογο εγκατάστασης είναι διαφορετική βλάβη από ένα κλειδί που λείπει.

Αν καμία από τις δύο προβολές δεν έχει την καταχώριση, ο εγκαταστάτης δεν τη δημιούργησε ποτέ, και η κατασκευή μιας τιμής με το χέρι δεν θα κάνει τα εργαλεία να δουλέψουν.

Μην προσθέτετε το /reg:64 χωρίς όρους

Η δελεαστική διόρθωση είναι να προσθέσετε τον επιλογέα 64 bit σε κάθε ερώτημα και να προχωρήσετε. Σε ορισμένες εγκαταστάσεις αυτό είναι σωστό, σε άλλες στέλνει το σενάριο σε μια προβολή που πραγματικά δεν έχει τίποτα.

Αλλάξτε την αναζήτηση μόνο αφού δείτε ποια προβολή κρατά την αναμενόμενη τιμή.

Η ανακάλυψη δεν είναι επισκευή PKI

Αυτό το σφάλμα δεν αποδεικνύει ότι το πιστοποιητικό CA, το κλειδί υπογραφής, το αρχείο σειριακών αριθμών ή η βάση ανάκλησης έχουν καταστραφεί. Η εκτέλεση ενός clean-all αντιγραμμένου από παλιό οδηγό θα κατέστρεφε ένα εντελώς διαφορετικό σύνολο αντικειμένων αφήνοντας την αναζήτηση χαλασμένη. Κρατήστε τις δύο δραστηριότητες χωριστά στο μυαλό σας και στο δελτίο. Αν αργότερα αποτύχει μια λειτουργία πιστοποιητικού, αξιολογήστε την με τα δικά της στοιχεία.

Κρατήστε αντίγραφο ασφαλείας του καταλόγου CA πριν από οποιοδήποτε πείραμα, ακόμη και αν είστε βέβαιοι ότι είναι μόνο για ανάγνωση.

Η μετάβαση στο Easy-RSA 3 είναι μετανάστευση

Μια συντηρούμενη εγκατάσταση θα πρέπει να χρησιμοποιεί τον δικό της εκκινητή και το μοντέλο διαμόρφωσης του τρέχοντος πακέτου, και το Easy-RSA 3 δεν είναι η ίδια ροή εργασίας αρχείων παρτίδας με το Easy-RSA 2. Η γρήγορη εκκίνησή του για ένα νέο PKI δεν είναι οδηγία μετανάστευσης για μια υπάρχουσα αρχή. Πριν αλλάξετε εκδόσεις, διατηρήστε το υλικό του CA μαζί με τα αρχεία έκδοσης και ανάκλησης, και ακολουθήστε τις οδηγίες αναβάθμισης εκείνης της έκδοσης. Η αρχικοποίηση ενός αντικαταστάτη CA μέσα στον έγκυρο κατάλογο για να εξαφανιστεί ένα σφάλμα ανακάλυψης εργαλείων είναι η χειρότερη επιλογή στη λίστα.

Η αλλαγή έκδοσης είναι έργο· το σφάλμα μητρώου είναι ένα απόγευμα.

Η σύγκριση που το λύνει πραγματικά

Σημειώστε τέσσερα πράγματα και συγκρίνετέ τα άμεσα:

• Ποιο σενάριο έτρεξε και ποια γραμμή απέτυχε.
• Ποια προβολή μητρώου ρώτησε εκείνη η γραμμή.
• Ποια διαδρομή εκτελέσιμου περίμενε το σενάριο.
• Ποια εγκατάσταση υπάρχει πραγματικά στο μηχάνημα.

Όταν αυτά τα τέσσερα συμφωνήσουν, το σφάλμα εξαφανίζεται, και οποιοδήποτε πρόβλημα πιστοποιητικού απομένει μπορεί να διαβαστεί με τα δικά του στοιχεία αντί να κατηγορηθεί το CA.