Easy-RSA ütleb, et PKI puudub? See vaatab mujale

Käsk peatub puuduva ca.crt või puuduva index.txt tõttu, kuigi CA on juba kuid sertifikaate välja andnud. Autoriteedi juures ei ole miski muutunud; käsk lihtsalt vaatas mujale. Easy-RSA 3 tuletab PKI-kataloogi valikust, keskkonnamuutujast, vars-failist ja sisseehitatud vaikeväärtusest ning ükskõik milline neist võib osutada juurutuse autoriteedist eemale. Kontrollige, milline võitis, enne kui midagi loote.

Viga nimetab faili, mitte kataloogi

Paigalduskataloog ja väljaandja kataloog on kaks erinevat kohta. Faili easyrsa masinas leidmine tõestab vaid, et tööriist on paigaldatud, mitte et see leidis autoriteedi, mida teie VPN usaldab.

Seetõttu tundub paketi uuesti paigaldamine või init-sammu kordamine produktiivne ega muuda midagi.

Kontrollige valijat enne kõike muud

Easy-RSA 3 puhul on valijaks EASYRSA_PKI või vastav valik --pki-dir. Andke absoluutne tee, näiteks --pki-dir=/srv/pki/office, ja vastus ei sõltu enam sellest, kus te juhtumisi seisite. See üks harjumus kõrvaldab terve selle vea klassi, eriti cronist või CI-kontrollist käivitatavate skriptide puhul.

Kinnitage esmalt põlvkond, sest Easy-RSA 2 harjumus vars-failist pluss build-key on teistsugune mudel kui see, mida Easy-RSA 3 ootab. easyrsa --version prindib põlvkonna enne, kui midagi muud teeb, ja ./easyrsa --help loetleb alamkäsud: sihtmärk build-key tähendab 2.x, samas kui build-client-full tähendab 3.x. Vana KEY_DIR-tee viimine 3.x kutsele, sest kataloogi nimi tundub tuttav, tekitab täpselt selle vea.

Kui versioonistring ja käsu süntaks ei ühti, peatuge ja lugege paigaldatud väljaande enda dokumentatsiooni.

Tähtsus selgitab kaotatud vars-faili

Dokumenteeritud tähtsus on käsurea valik, seejärel keskkond, seejärel vars-fail, seejärel sisseehitatud vaikeväärtus. Seega kaotab õige väärtus vars-s päritud keskkonnamuutujale ja see on selle tõrke vaikne versioon. Uurige kavandatud muutujaid ja faili valikut, selle asemel et kogu keskkond piletisse valada. Nende kahe erinevus on tavaliselt saladus.

Käige ahel järjekorras läbi ja märkige, milline allikas andis tee, mida käsk kasutas. Kui seda teate, on parandus lipp või export, mitte uus sertifitseerimisasutus.

Easy-RSA konfiguratsiooniviide määratleb valija ja tähtsuse ning see on viide, mis piletisse panna.

Kinnitage väljaandja avaliku materjaliga

Tavapärase failipõhise väljaandja puhul lugege ca.crt ja võrrelge selle sõrmejälge väljaandja kirjega, mille te kinnitasite. Sobiv subjekti nimi ei ole identiteeditõend, samuti mitte kataloog nimega production. Ainult sõrmejälg seob leitud faili autoriteediga, mida teie partneritel paluti usaldada.

Piisab ainult lugemiseks mõeldud kontrollist: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Seejärel tehke kindlaks kataloogi roll. Kataloog, mida klient päringute jaoks kasutab, ei ole väljaandja andmebaas, ja võrguühenduseta hoitaval allkirjastamisvõtmel pole igal VPN-hostil midagi teha. Puuduv ca.key on selles paigutuses disainiomadus, mitte luba asendusautoriteeti välja mõelda.

Kui olek on tõesti kadunud

Mõnikord on tee õige ja olekut tõesti ei ole. Tühi index.txt ja taaskäivitatud seerianumber annavad PKI, mis näib terve ega suuda tõestada midagi sertifikaatide kohta, mida see kunagi ei näinud: uuendused ei tühista vanu ja uued numbrid põrkuvad ajalooga. Taastage hoopis CA kinnitatud varukoopiast, sest tühja PKI algatamine mujal ainult liigutab vea ja jätab maha teise, mitteseotud autoriteedi.

Kui tee ja väljaandja ühtivad, käsitlege järgmist tõrget sisuliselt. Permission denied, paroolifraasi vajav allkirjastamisvõti ja puuduv väljaandmiskirje on kolm erinevat riket ja ainult üks neist puudutab kataloogi, mille just parandasite.

Ärge kunagi eemaldage võtme krüpteerimist ega laiendage kataloogiõigusi, et teekonda seotud viga katta. Viga on odav parandada; taastamine ei ole.