Easy-RSA sanoo, että PKI puuttuu? Se katsoo muualle

Komento pysähtyy, kun ca.crt tai index.txt puuttuu, vaikka CA on myöntänyt varmenteita kuukausia. Valtuudessa ei ole muuttunut mikään; komento yksinkertaisesti katsoi muualle. Easy-RSA 3 johtaa PKI-hakemiston valitsimesta, ympäristömuuttujasta, vars-tiedostosta ja sisäänrakennetusta oletusarvosta, ja mikä tahansa niistä voi osoittaa poispäin käyttöönoton valtuudesta. Tarkista, mikä voitti, ennen kuin luot mitään.

Virhe nimeää tiedoston, ei hakemistoa

Asennushakemisto ja myöntäjän hakemisto ovat kaksi eri paikkaa. Kun easyrsa löytyy koneelta, se todistaa vain työkalun olevan asennettu, ei sitä, että se löysi valtuuden, johon VPN:si luottaa.

Siksi paketin uudelleenasennus tai init-vaiheen uudelleenajo tuntuu tuottavalta eikä muuta mitään.

Tarkista valitsin ennen kaikkea muuta

Easy-RSA 3:ssa valitsin on EASYRSA_PKI tai vastaava --pki-dir valitsin. Anna absoluuttinen polku, esimerkiksi --pki-dir=/srv/pki/office, niin vastaus ei enää riipu siitä, mihin satuit seisomaan. Tämä yksi tapa poistaa kokonaisen luokan tätä vikaa, erityisesti cronista tai CI-tarkistuksesta ajettaville skripteille.

Vahvista ensin sukupolvi, koska Easy-RSA 2:n tapa vars-tiedostosta plus build-key on eri malli kuin se, jota Easy-RSA 3 odottaa. easyrsa --version tulostaa sukupolven ennen kuin tekee mitään muuta, ja ./easyrsa --help luettelee alikomennot: kohde build-key tarkoittaa 2.x:ää, kun taas build-client-full tarkoittaa 3.x:ää. Vanhan KEY_DIR-polun vieminen 3.x-kutsuun, koska hakemiston nimi näyttää tutulta, tuottaa juuri tämän virheen.

Jos versiomerkkijono ja komennon syntaksi eivät sovi yhteen, pysähdy ja lue asennetun julkaisun oma dokumentaatio.

Tärkeysjärjestys selittää hävinneen vars-tiedoston

Dokumentoitu tärkeysjärjestys on komentorivivalitsin, sitten ympäristö, sitten vars-tiedosto, sitten sisäänrakennettu oletus. Siksi oikea arvo vars-tiedostossa häviää peritylle ympäristömuuttujalle, ja se on tämän vian hiljainen versio. Tutki tarkoitetut muuttujat ja tiedostovalinta sen sijaan, että kaataisit koko ympäristön tikettiin. Näiden kahden ero on yleensä salaisuus.

Käy ketju järjestyksessä läpi ja merkitse, mikä lähde antoi polun, jota komento käytti. Kun tiedät sen, korjaus on lippu tai export, ei uusi varmentaja.

Easy-RSA:n määritysviite määrittelee valitsimen ja tärkeysjärjestyksen, ja se on viittaus, joka laitetaan tikettiin.

Vahvista myöntäjä julkisella materiaalilla

Tavallisella tiedostopohjaisella myöntäjällä lue ca.crt ja sovita sen sormenjälki hyväksymääsi myöntäjätietueeseen. Täsmäävä subjektin nimi ei ole identiteetin todiste, eikä production-niminen hakemistokaan. Vain sormenjälki sitoo löytämäsi tiedoston valtuuteen, jonka vertaisillesi sanottiin luottaa.

Pelkkä lukutarkistus riittää: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Selvitä sitten hakemiston rooli. Hakemisto, jota asiakas käyttää pyyntöihin, ei ole myöntäjän tietokanta, ja offline-tilassa pidettävällä allekirjoitusavaimella ei ole mitään tekemistä jokaisella VPN-isännällä. Puuttuva ca.key on suunnitteluominaisuus tässä asettelussa, ei lupa keksiä korvaavaa valtuutta.

Jos tila todella on kadonnut

Joskus polku on oikea eikä tilaa todella ole. Tyhjä index.txt ja uudelleen käynnistetty sarjanumero antavat PKI:n, joka näyttää terveeltä eikä voi todistaa mitään varmenteista, joita se ei koskaan nähnyt: uusinnat eivät peruuta vanhoja, ja uudet numerot törmäävät historiaan. Palauta sen sijaan CA:n hyväksytystä varmuuskopiosta, sillä tyhjän PKI:n alustaminen muualla vain siirtää virheen ja jättää jälkeensä toisen, asiaankuulumattoman valtuuden.

Kun polku ja myöntäjä ovat yhtä mieltä, käsittele seuraava vika sen omilla ansioilla. Permission denied, salalauseensa tarvitseva allekirjoitusavain ja puuttuva myöntötietue ovat kolme eri vikaa, ja vain yksi niistä koskee hakemistoa, jonka juuri korjasit.

Älä koskaan poista avaimen salausta tai laajenna hakemiston käyttöoikeuksia peittääksesi polkuvirheen. Virhe on halpa korjata; korjaus ei ole.