Easy-RSA-k PKI falta dela dio? Beste leku batean ari da begira

Komandoa ca.crt bat edo index.txt bat falta dela gelditzen da, CAk hilabeteak daramatzan arren ziurtagiriak jaulkitzen. Autoritatean ez da ezer aldatu; komandoak besterik gabe beste leku batera begiratu du. Easy-RSA 3k PKI direktorio bat ebazten du aukera batetik, ingurumen-aldagai batetik, vars fitxategi batetik eta barneko lehenetsitako balio batetik, eta horietako edozeinek inplementazioaren autoritatetik kanpora seina dezake. Egiaztatu zeinek irabazi zuen ezer sortu aurretik.

Erroreak fitxategi bati ematen dio izena, ez direktorio bati

Instalazio-direktorioa eta igorlearen direktorioa bi leku desberdin dira. Aurkitzeak easyrsa makinan tresna instalatuta dagoela baino ez du frogatzen, ez duela zure VPNak fidatzen duen autoritatea aurkitu.

Horregatik, paketea berriro instalatzeak edo init urratsa berriro exekutatzeak produktiboa dirudi eta ezer ez du aldatzen.

Egiaztatu hautatzailea beste edozer baino lehen

Easy-RSA 3n hautatzailea hau da: EASYRSA_PKI edo dagokion --pki-dir aukera. Eman bide absolutua, adibidez --pki-dir=/srv/pki/office, eta erantzuna ez da gehiago egongo ustekabean non geunden. Ohitura bakar horrek errore mota oso bat ezabatzen du, bereziki cronetik edo CI checkout batetik exekutatutako scriptetarako.

Berretsi lehenengo belaunaldia, Easy-RSA 2ren vars fitxategi bat eta build-key ohitura Easy-RSA 3k espero duen modelo desberdina delako. easyrsa --version belaunaldia inprimatzen du beste ezer egin aurretik, eta ./easyrsa --help azpikomandoak zerrendatzen ditu: helburu batek build-key 2.x esan nahi du, eta build-client-full 3.x esan nahi du. Bide zaharra KEY_DIR 3.x dei batera eramateak direktorioaren izena ezaguna delako zehazki errore hau sortzen du.

Bertsio-katea eta komandoaren sintaxia bat ez badatoz, gelditu eta irakurri instalatutako bertsioaren dokumentazioa.

Lehentasunak galdutako vars fitxategia azaltzen du

Dokumentatutako lehentasuna komando-lerroko aukera da, gero ingurunea, gero vars fitxategia, gero barneko lehenetsitako balioa. Beraz, balio zuzen batek vars galdutako ingurumen-aldagai baten aurka galtzen du, eta hori da hutsegite honen bertsio isila. Aztertu asmoa diren aldagaiak eta fitxategi-hautaketa, ingurune osoa txartel batera bota beharrean. Bien arteko aldea normalean sekretu bat da.

Ibili katea ordenan eta ohar ezazu zein iturrik eman zuen komandoak erabilitako bidea. Hori dakizunean, konponbidea bandera bat edo export bat da, ez ziurtagiri-autoritate berri bat.

Easy-RSAren konfigurazio-erreferentziak hautatzailea eta lehentasuna definitzen ditu, eta hori da txartelean jarri beharreko aipua.

Berretsi igorlea material publikoarekin

Fitxategietan oinarritutako igorle ohikoarekin, irakurri ca.crt eta parekatu haren hatz-marka onartu duzun igorle-erregistroarekin. Bat datorren subjektu izena ez da identitatearen froga, eta production izeneko direktorioa ere ez. Hatz-markak soilik lotzen du aurkitu duzun fitxategia zure kideei fidatzeko esan zitzaien autoritatearekin.

Irakurketa-soileko egiaztapen bat nahikoa da: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Ondoren, zehaztu direktorioaren eginkizuna. Bezero batek erabiltzen duen eskaera-direktorioa ez da igorlearen datu-basea, eta lineaz kanpo gordetako sinatze-gakoak ez du zerikusirik VPN ostalari bakoitzean. Falta den ca.key diseinu-ezaugarri bat da prestaketa horretan, ez ordezko autoritate bat asmatzeko baimena.

Benetan egoera desagertu bada

Batzuetan bidea zuzena da eta egoera benetan ez dago. Hutsik dagoen index.txt batek eta berrabiarazitako serie-kontagailu batek PKI osasuntsua ematen dizute, baina ez dute ezer frogatzen inoiz ikusi ez zituzten ziurtagiriei buruz: berritzeek ez dituzte zaharrak baliogabetuko, eta zenbaki berriek historialarekin talka egingo dute. Zaharberritu CAren babeskopia onartutik, beste nonbait PKI huts bat hasieratzeak errorea mugitu eta bigarren autoritate bat uzten baitu atzean.

Bidea eta igorlea bat datozenean, hurrengo hutsegitea bere merituaren arabera hartu. Permission denied, pasahitza behar duen sinatze-gako bat eta falta den jaulkipen-erregistro bat hiru matxura desberdin dira, eta horietako bat bakarrik da zuk oraintxe konpondu duzun direktorioari buruzkoa.

Inoiz ez ezabatu gakoen zifratzea edo zabaldu direktorio-baimenak bide-errore bat estaltzeko. Errorea merkea da konpontzeko; konponketa ez.