Easy-RSA-registerflater yn Windows: kontrolearje de registerwerjefte

De batchfile stopet mei “It systeem koe de opjûne registersleutel of -wearde net fine” en elkenien tinkt dat de sertifikaasje-autoriteit stikken is. Dat is net sa, of teminsten noch net: it skript mislearre wylst it software socht, foardat it Easy-RSA frege om eat mei in sleutel te dwaan. Dy folchoarder makket út, want it betsjut dat de reparaasje in sykprobleem is en de PKI in taskôger. It mislearjende rigel lêze is de hiele diagnoaze, en it kostet minder tiid as hokker omwei dan ek.

De flater bart foardat de CA oanrekke wurdt

Alde Easy-RSA 2-batchfiles fine OpenSSL of de OpenVPN-ynstallaasje troch it register te befreegjen, en sette dan fariabelen op grûn fan wat se fine. As de befreeging neat weromjout, stopet it skript foardat hokker sertifikaatbewurking dan ek draait.

In boadskip oer in registersleutel is dus bewiis oer de omjouwing fan it skript, net oer de CA-map.

Twa registerwerjeften, ien batchfile

In 32-bit-proses en in 64-bit-proses kinne ferskillende registerwerjeften sjen, en in batchfile dy't ien oannimt kin de ynfier misse dy't yn de oare bestiet. Dizze allinne-lêzen-fergelykingen litte it ferskil sjen foar de âlde sleutel dy't guon âlde skripts brûke:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

De referinsje foar reg query dokumintearret de werjeftekarren. Rin beide yn deselde kontekst as it mislearjende skript, want de werjefte hinget ôf fan hoe't it proses begjint en ek fan 'e flaggen. As de ynfier mar yn ien werjefte bestiet, ferlykje dan it paad dêr't er nei wiist mei de ynstalleare helpmiddelen foardat jo eat feroarje. In sleutel dy't bestiet mar nei in âlde ynstallaasjemap wiist, is in oare flater as in sleutel dy't ûntbrekt.

As gjin fan beide werjeften de ynfier hat, hat de ynstallearder dy nea makke, en in wearde mei de hân meitsje sil de helpmiddelen net wurkje litte.

Foegje /reg:64 net sûnder betingst ta

De ferliedlike repaarasje is om de 64-bit-kar ta te foegjen oan elk befreeging en fierder te gean. By guon ynstallaasjes is dat goed, by oaren stjoert it it skript nei in werjefte dy't wier neat hat.

Feroarje de syktocht pas neidat jo sjoen hawwe hokker werjefte de ferwachte wearde hat.

Untdekking is gjin PKI-reparaasje

Dizze flater bewissiget net dat it CA-sertifikaat, de ûndertekeningssleutel, it searjenûmerbestân of de ynlûkingsdatabank skansearre is. It draaien fan in clean-all kopiearre út in âlde tutorial soe in hiel oare set objekten ferneatigje wylst de syktocht stikken bliuwt. Hâld de twa aktiviteiten apart yn jo holle en yn it ticket. As in sertifikaatbewurking letter mislearret, beoardielje dy dan op syn eigen bewiis.

Meitsje in reservekopy fan de CA-map foar elk eksperimint, sels ien dêr't jo wis fan binne dat it allinnich-lêzen is.

Oergean nei Easy-RSA 3 is in migraasje

In ûnderholden ynstallaasje moat de eigen lansearder en it konfiguraasjemodel fan it hjoeddeiske pakket brûke, en Easy-RSA 3 is net deselde batchfile-wurkstream as Easy-RSA 2. Syn snelstart foar in nije PKI is gjin migraasje-ynstruksje foar in besteande autoriteit. Bewarje foar it feroarjen fan ferzjes it CA-materiaal plus de útjaan- en ynlûkingsrecords, en folgje de upgrade-rjochtline fan dy ferzje. In ferfangende CA initialisearje yn 'e autoritative map om in helpmiddel-untdekkingsflater ferdwine te litten is de minste opsje op 'e list.

In ferzjeferoaring is in projekt; de registerflater is in middei.

De fergeliking dy't it echt oplost

Skriuw fjouwer dingen op en ferlykje se direkt:

• Hokker skript draaide, en hokker rigel mislearre.
• Hokker registerwerjefte dy rigel befrege.
• Hokker útfierber paad it skript ferwachte.
• Hokker ynstallaasje der wier op 'e masine is.

As dy fjouwer oerienkomme, is de flater fuort, en elk oerbleaun sertifikaatprobleem kin lêzen wurde op syn eigen bewiis ynstee fan de CA te beskuldigjen.