Deir Easy-RSA go bhfuil an PKI ar iarraidh? Tá sé ag féachaint in áit eile

Stadann an t-ordú le ca.crt ar iarraidh nó index.txt ar iarraidh, cé go bhfuil an CA ag eisiúint teastas le míonna. Níor athraigh aon rud faoin údarás; d'fhéach an t-ordú in áit eile, sin uile. Réitíonn Easy-RSA 3 eolaire PKI ó rogha, ó athróg chomhshaoil, ó chomhad vars agus ó réamhshocrú ionsuite, agus féadann aon cheann acu siúd a bheith ag síneadh amach ó údarás an imlonnaithe. Seiceáil cé acu a bhuaigh sula gcruthaíonn tú aon rud.

Ainmníonn an earráid comhad, ní eolaire

Is dhá áit éagsúla iad an t-eolaire suiteála agus eolaire an eisitheora. Teacht ar easyrsa ar an meaisín ní chruthaíonn sé ach go bhfuil an uirlis suiteáilte, ní go bhfuair sé an t-údarás a bhfuil muinín ag do VPN as.

Sin é an fáth a bhfuil athshuiteáil an phacáiste nó athrith an chéim init cosúil le rud táirgiúil agus ní athraíonn sé faic.

Seiceáil an roghnóir roimh aon rud eile

In Easy-RSA 3 is é an roghnóir EASYRSA_PKI nó an rogha chomhfhreagrach --pki-dir. Tabhair cosán absalóideach mar --pki-dir=/srv/pki/office, agus stopann an freagra ag brath ar an áit a raibh tú i do sheasamh. Baineann an nós amháin sin aicme iomlán den fhabht seo amach, go háirithe do scripteanna a rithtear ó cron nó ó sheiceáil CI.

Deimhnigh an ghlúin ar dtús, mar is samhail dhifriúil é nós Easy-RSA 2 le comhad vars chomh maith le build-key ón gceann a mbíonn Easy-RSA 3 ag súil leis. easyrsa --version priontálann sé an ghlúin sula ndéanann sé aon rud eile, agus ./easyrsa --help liostaíonn sé na fo-orduithe: ciallaíonn sprioc build-key 2.x, agus ciallaíonn build-client-full 3.x. Má thugann tú seanchonair KEY_DIR isteach i nglao 3.x toisc go bhfuil cuma eolach ar ainm an eolaire, cruthaítear an earráid seo go beacht.

Mura n-aontaíonn an teaghrán leagain agus comhréir an ordaithe, stop agus léigh doiciméadú an eagráin shuiteáilte.

Míníonn tús áite comhad vars a chaill

Is é an tús áite doiciméadaithe rogha na líne ordaithe, ansin an timpeallacht, ansin comhad vars, ansin réamhshocrú ionsuite. Mar sin cailleann luach ceart i vars i gcoinne athróg chomhshaoil a fuarthas le hoidhreacht, agus sin an leagan ciúin den chliseadh seo. Scrúdaigh na hathróga beartaithe agus an roghnú comhad seachas an timpeallacht ar fad a dhoirteadh isteach i dticéad. Is rún de ghnáth an difríocht idir an dá rud.

Siúil an slabhra in ord agus tabhair faoi deara cén fhoinse a sholáthair an cosán a d'úsáid an t-ordú. Nuair a bheidh sé sin ar eolas agat, is bratach nó export é an ceartú, ní údarás deimhniúcháin nua.

An tagairt chumraíochta Easy-RSA sainmhíníonn sí an roghnóir agus an tús áite, agus is í an lua í a chuirtear sa ticéad.

Deimhnigh an t-eisitheoir le hábhar poiblí

Leis an eisitheoir comhadbhunaithe is gnách, léigh ca.crt agus meaitseáil a mhéarlorg le taifead an eisitheora a d'fhormheas tú. Ní fianaise aitheantais é ainm ábhair atá comhoiriúnach, ná eolaire darb ainm production. Ní cheanglaíonn ach an méarlorg an comhad a fuair tú leis an údarás ar iarradh ar do phiaraí muinín a bheith acu as.

Is leor seiceáil inléite amháin: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Ansin socraigh ról an eolaire. Ní bunachar sonraí eisitheora é eolaire iarratais a úsáideann cliant, agus níl aon ghnó ag eochair shínithe a choinnítear as líne ar gach óstach VPN. Tá ca.key ar iarraidh ina airí deara sa leagan amach sin, ní ina chead chun údarás ionaid a cheapadh.

Má tá an staid imithe i ndáiríre

Uaireanta bíonn an cosán ceart agus ní bhíonn an staid ann i ndáiríre. Tugann index.txt folamh agus áiritheoir sraithe athchóirithe PKI duit a bhféachann sé sláintiúil agus nach féidir aon rud a chruthú faoi na teastais nár chonaic sé riamh: ní chúlghairfidh athnuachana na cinn sean, agus imbhuailfidh na huimhreacha nua leis an stair. Athchóirigh ó chúltaca ceadaithe an CA ina ionad, mar ní dhéanann tús a chur le PKI bán in áit eile ach an earráid a aistriú agus fágann sé dara húdarás gan bhaint ina dhiaidh.

Nuair a aontaíonn an cosán agus an t-eisitheoir, glac leis an gcliseadh seo chugainn ar a shon féin. Permission denied, eochair shínithe a dteastaíonn a frása rochtana uaithi, agus taifead eisiúna ar iarraidh is trí locht éagsúla iad, agus ní bhaineann ach ceann acu leis an eolaire a ndearna tú a shocrú anois beag.

Ná bain criptiú eochracha riamh agus ná leathnaigh ceadanna eolairí chun botún cosáin a cheilt. Tá an botún saor le socrú; ní hea an deisiúchán.