Easy-RSA registritõrge Windowsis: kontrollige registri vaadet

Paketifail peatub teatega „Süsteem ei leidnud määratud registrivõtit ega -väärtust“ ja kõik eeldavad, et sertifitseerimisasutus on katki. Ei ole, või vähemalt veel mitte: skript ebaõnnestus tarkvara otsides, enne kui ta palus Easy-RSAl võtmega midagi teha. See järjekord on oluline, sest see tähendab, et parandus on otsinguprobleem ja PKI on kõrvaltvaataja. Ebaõnnestunud rea lugemine on kogu diagnoos ja võtab vähem aega kui ükski möödasõit.

Tõrge tekib enne, kui CA-d üldse puudutatakse

Vanad Easy-RSA 2 paketifailid leiavad OpenSSL-i või OpenVPN paigalduse registriküsimusega ja seavad seejärel muutujad leidu põhjal. Kui päring ei tagasta midagi, katkeb skript enne, kui ükski sertifikaaditoiming käivitub.

Registrivõtme teade on seega tõend skripti keskkonna kohta, mitte CA kataloogi kohta.

Kaks registrivaadet, üks paketifail

32-bitine protsess ja 64-bitine protsess võivad näha erinevaid registrivaateid ning paketifail, mis eeldab ühte, võib mööda minna kirjest, mis on olemas teises. Need ainult lugemiseks mõeldud võrdlused näitavad erinevust vana võtme puhul, mida mõned vanad skriptid kasutavad:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Viide reg query dokumenteerib vaate valijad. Käivitage mõlemad samas kontekstis nagu ebaõnnestunud skript, sest vaade sõltub sellest, kuidas protsess algab, ja ka lippudest. Kui kirje on ainult ühes vaates, võrrelge rada, millele see osutab, paigaldatud tööriistadega enne millegi muutmist. Võti, mis on olemas, kuid osutab vanale paigalduskataloogile, on teistsugune viga kui puuduv võti.

Kui kummaski vaates kirjet pole, ei loonud paigaldaja seda kunagi ja käsitsi väärtuse valmistamine ei pane tööriistu tööle.

Ärge lisage /reg:64 tingimusteta

Ahvatlev parandus on lisada 64-bitine valija igale päringule ja edasi liikuda. Mõnes paigalduses on see õige, teistes saadab see skripti vaatesse, kus tõesti midagi pole.

Muutke otsingut alles pärast seda, kui olete näinud, milline vaade sisaldab oodatud väärtust.

Avastamine ei ole PKI parandamine

See tõrge ei tõesta, et CA sertifikaat, allkirjastamisvõti, seerianumbrite fail või tühistamise andmebaas on kahjustatud. Vanast õpetusest kopeeritud clean-all käivitamine hävitaks hoopis teise objektide komplekti, jättes otsingu katki. Hoidke need kaks tegevust peas ja piletis lahus. Kui sertifikaaditoiming hiljem ebaõnnestub, hinnake seda selle enda tõendite põhjal.

Tehke CA kataloogist varukoopia enne igasugust katset, isegi kui olete kindel, et see on ainult lugemiseks.

Üleminek Easy-RSA 3-le on migratsioon

Hooldatud paigaldus peaks kasutama praeguse paketi enda käivitit ja konfiguratsioonimudelit ning Easy-RSA 3 ei ole sama paketifaili töövoog nagu Easy-RSA 2. Selle kiirstart uue PKI jaoks ei ole olemasoleva asutuse migratsioonijuhis. Enne versioonide muutmist säilitage CA materjal ning väljastamise ja tühistamise kirjed ning järgige selle versiooni uuendusjuhiseid. Asendus-CA algatamine volitatud kataloogi sees, et tööriista avastamise tõrge kaoks, on nimekirja halvim valik.

Versioonimuudatus on projekt; registritõrge on üks pärastlõuna.

Võrdlus, mis selle tegelikult lahendab

Kirjutage üles neli asja ja võrrelge neid otse:

• Milline skript käivitus ja milline rida ebaõnnestus.
• Millist registrivaadet see rida küsis.
• Millist käivitatava faili rada skript ootas.
• Milline paigaldus masinas tegelikult olemas on.

Kui need neli klapivad, on tõrge kadunud ja kõiki allesjäänud sertifikaadiprobleeme saab lugeda nende endi tõendite põhjal, selle asemel et CA-d süüdistada.