Error de registro de Easy-RSA en Windows: revise la vista del registro

El archivo por lotes se detiene con “El sistema no pudo encontrar la clave o el valor de registro especificados” y todos suponen que la autoridad de certificación está rota. No lo está, o al menos todavía no: el script falló mientras buscaba software, antes de pedir a Easy-RSA que hiciera algo con una clave. Ese orden importa, porque significa que la reparación es un problema de búsqueda y que el PKI es un espectador. Leer la línea que falla es todo el diagnóstico, y lleva menos tiempo que cualquiera de las soluciones alternativas.

El error ocurre antes de tocar la CA

Los archivos por lotes antiguos de Easy-RSA 2 localizan OpenSSL o la instalación de OpenVPN consultando el registro, y luego definen variables a partir de lo que encuentran. Cuando la consulta no devuelve nada, el script se aborta antes de que se ejecute cualquier operación de certificado.

Por tanto, un mensaje sobre una clave de registro es evidencia sobre el entorno del script, no sobre el directorio de la CA.

Dos vistas del registro, un solo archivo por lotes

Un proceso de 32 bits y un proceso de 64 bits pueden ver vistas distintas del registro, y un archivo por lotes que asume una puede pasar por alto la entrada que existe en la otra. Estas comparaciones de solo lectura muestran la diferencia para la clave heredada que usan algunos scripts antiguos:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

La referencia de reg query documenta los selectores de vista. Ejecute ambos en el mismo contexto que el script que falla, porque la vista depende de cómo se inicia el proceso y también de los indicadores. Si la entrada existe solo en una vista, compare la ruta a la que apunta con las herramientas instaladas antes de cambiar nada. Una clave que existe pero apunta a un directorio de instalación antiguo es un fallo distinto de una clave ausente.

Si ninguna de las dos vistas tiene la entrada, el instalador nunca la creó, y fabricar un valor a mano no hará que las herramientas funcionen.

No añada /reg:64 sin condiciones

La solución tentadora es añadir el selector de 64 bits a cada consulta y seguir adelante. En algunas instalaciones eso es correcto, y en otras envía el script a una vista que realmente no tiene nada.

Cambie la búsqueda solo después de haber visto qué vista contiene el valor esperado.

Descubrir no es reparar el PKI

Este error no demuestra que el certificado de la CA, la clave de firma, el archivo de serie o la base de datos de revocación estén dañados. Ejecutar un clean-all copiado de un tutorial antiguo destruiría un conjunto de objetos completamente distinto y dejaría la búsqueda rota. Mantenga las dos actividades separadas en su cabeza y en el ticket. Si una operación de certificado falla más adelante, evalúela con sus propias pruebas.

Haga una copia de seguridad del directorio de la CA antes de cualquier experimento, incluso de uno que tenga por seguro que es de solo lectura.

Pasar a Easy-RSA 3 es una migración

Una instalación mantenida debería usar el lanzador y el modelo de configuración propios del paquete actual, y Easy-RSA 3 no es el mismo flujo de trabajo con archivos por lotes que Easy-RSA 2. Su guía de inicio rápido para un PKI nuevo no es una instrucción de migración para una autoridad existente. Antes de cambiar de versión, conserve el material de la CA y los registros de emisión y revocación, y siga las indicaciones de actualización de esa versión. Inicializar una CA de reemplazo dentro del directorio autoritativo para hacer desaparecer un error de descubrimiento de herramientas es la peor opción de la lista.

Un cambio de versión es un proyecto; el error de registro es una tarde.

La comparación que realmente lo resuelve

Anote cuatro cosas y compárelas directamente:

• Qué script se ejecutó y qué línea falló.
• Qué vista del registro consultó esa línea.
• Qué ruta de ejecutable esperaba el script.
• Qué instalación existe realmente en la máquina.

Cuando esas cuatro coinciden, el error desaparece, y cualquier problema de certificado que quede puede leerse con sus propias pruebas en lugar de culpar a la CA.