Easy-RSA:n rekisterivirhe Windowsissa: tarkista rekisterin näkymä

Eräajotiedosto pysähtyy viestiin “Järjestelmä ei löytänyt määritettyä rekisteriavainta tai -arvoa”, ja kaikki olettavat, että varmenteiden myöntäjä on rikki. Ei ole, tai ainakaan vielä: skripti epäonnistui etsiessään ohjelmistoa, ennen kuin se pyysi Easy-RSA:ta tekemään avaimella mitään. Tällä järjestyksellä on merkitystä, koska se tarkoittaa, että korjaus on etsintäongelma ja PKI on sivustakatsoja. Epäonnistuneen rivin lukeminen on koko diagnoosi, ja se vie vähemmän aikaa kuin mikään kiertotie.

Virhe tapahtuu ennen kuin CA:han kosketaan

Vanhat Easy-RSA 2 -eräajotiedostot paikantavat OpenSSL:n tai OpenVPN -asennuksen kyselemällä rekisteriä ja asettavat sitten muuttujat löytämänsä perusteella. Kun kysely ei palauta mitään, skripti keskeytyy ennen kuin yhtään varmennetoimea suoritetaan.

Viesti rekisteriavaimesta on siis todiste skriptin ympäristöstä, ei CA-hakemistosta.

Kaksi rekisterinäkymää, yksi eräajotiedosto

32-bittinen prosessi ja 64-bittinen prosessi voivat nähdä eri rekisterinäkymiä, ja eräajotiedosto, joka olettaa toisen, voi ohittaa toisessa olevan merkinnän. Nämä vain luku -vertailut näyttävät eron vanhalle avaimelle, jota jotkin vanhat skriptit käyttävät:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Viite reg query kuvaa näkymän valitsimet. Suorita molemmat samassa kontekstissa kuin epäonnistunut skripti, koska näkymä riippuu siitä, miten prosessi käynnistyy, sekä valitsimista. Jos merkintä on vain yhdessä näkymässä, vertaa sen osoittamaa polkua asennettuihin työkaluihin ennen kuin muutat mitään. Avain, joka on olemassa mutta osoittaa vanhaan asennushakemistoon, on eri vika kuin puuttuva avain.

Jos kummassakaan näkymässä ei ole merkintää, asentaja ei koskaan luonut sitä, eikä arvon valmistaminen käsin saa työkaluja toimimaan.

Älä lisää /reg:64 ehdoitta

Houkkuttava korjaus on lisätä 64-bittinen valitsin jokaiseen kyselyyn ja jatkaa matkaa. Joissakin asennuksissa se on oikein, ja toisissa se lähettää skriptin näkymään, jossa ei todella ole mitään.

Muuta etsintää vasta, kun olet nähnyt, missä näkymässä odotettu arvo on.

Havaitseminen ei ole PKI:n korjaamista

Tämä virhe ei todista, että CA-varmente, allekirjoitusavain, sarjanumerotiedosto tai mitätöintitietokanta on vahingoittunut. Vanhasta oppaasta kopioidun clean-allin ajaminen tuhoaisi täysin toisen joukon objekteja ja jättäisi etsinnän rikki. Pidä kaksi asiaa erillään päässäsi ja tiketissä. Jos varmennetoimi myöhemmin epäonnistuu, arvioi se sen omien todisteiden perusteella.

Varmuuskopioi CA-hakemisto ennen mitä tahansa kokeilua, myös sellaista, jonka olet varma olevan vain luku -tilassa.

Siirtyminen Easy-RSA 3:een on migraatio

Ylläpidetyn asennuksen pitäisi käyttää nykyisen paketin omaa käynnistintä ja kokoonpanomallia, ja Easy-RSA 3 ei ole sama eräajotiedostojen työnkulku kuin Easy-RSA 2. Sen pikaopas uudelle PKI:lle ei ole migraatio-ohje olemassa olevalle myöntäjälle. Ennen versioiden vaihtamista säilytä CA-materiaali sekä myöntämis- ja mitätöintitiedot ja noudata kyseisen version päivitysohjeita. Korvaavan CA:n alustaminen valtuutetun hakemiston sisällä, jotta työkalujen havaitsemisvirhe katoaisi, on listan huonoin vaihtoehto.

Versionvaihto on projekti; rekisterivirhe on yksi iltapäivä.

Vertailu, joka sen todella ratkaisee

Kirjoita neljä asiaa ja vertaa niitä suoraan:

• Mikä skripti ajettiin ja mikä rivi epäonnistui.
• Mitä rekisterinäkymää se rivi kyseli.
• Mitä suoritettavan tiedoston polkua skripti odotti.
• Mikä asennus koneessa todella on.

Kun nämä neljä täsmäävät, virhe on poissa, ja mikä tahansa jäljelle jäävä varmenneongelma voidaan lukea sen omien todisteiden perusteella sen sijaan, että CA:ta syytettäisiin.