Erro de rexistro de Easy-RSA en Windows: revise a vista do rexistro

O ficheiro por lotes detense con “O sistema non puido atopar a clave ou o valor de rexistro especificados” e todos supoñen que a autoridade de certificación está rota. Non o está, ou polo menos aínda non: o script fallou mentres buscaba software, antes de pedirlle a Easy-RSA que fixese algo cunha clave. Ese orde importa, porque significa que a reparación é un problema de busca e que o PKI é un espectador. Ler a liña que falla é todo o diagnóstico, e leva menos tempo que calquera das solucións alternativas.

O erro ocorre antes de tocar a CA

Os ficheiros por lotes antigos de Easy-RSA 2 localizan OpenSSL ou a instalación de OpenVPN consultando o rexistro, e logo definen variables a partir do que atopan. Cando a consulta non devolve nada, o script aborta antes de que se execute calquera operación de certificado.

Por tanto, unha mensaxe sobre unha clave de rexistro é evidencia sobre a contorna do script, non sobre o directorio da CA.

Dúas vistas do rexistro, un só ficheiro por lotes

Un proceso de 32 bits e un proceso de 64 bits poden ver vistas distintas do rexistro, e un ficheiro por lotes que asume unha pode pasar por alto a entrada que existe na outra. Estas comparacións de só lectura mostran a diferenza para a clave heredada que usan algúns scripts antigos:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

A referencia de reg query documenta os selectores de vista. Execute ambos no mesmo contexto que o script que falla, porque a vista depende de como se inicia o proceso e tamén dos indicadores. Se a entrada existe só nunha vista, compare a ruta á que apunta coas ferramentas instaladas antes de cambiar nada. Unha clave que existe pero apunta a un directorio de instalación antigo é un fallo distinto dunha clave ausente.

Se ningunha das dúas vistas ten a entrada, o instalador nunca a creou, e fabricar un valor a man non fará que as ferramentas funcionen.

Non engada /reg:64 sen condicións

A solución tentadora é engadir o selector de 64 bits a cada consulta e seguir adiante. Nalgunhas instalacións iso é correcto, e noutras envía o script a unha vista que realmente non ten nada.

Cambie a busca só despois de ver que vista contén o valor esperado.

Descubrir non é reparar o PKI

Este erro non demostra que o certificado da CA, a clave de sinatura, o ficheiro de serie ou a base de datos de revocación estean danados. Executar un clean-all copiado dun tutorial antigo destruiría un conxunto de obxectos completamente distinto e deixaría a busca rota. Manteña as dúas actividades separadas na cabeza e no ticket. Se unha operación de certificado falla máis adiante, avalíea coas súas propias probas.

Faga unha copia de seguridade do directorio da CA antes de calquera experimento, mesmo dun que estea seguro de que é só de lectura.

Pasar a Easy-RSA 3 é unha migración

Unha instalación mantida debería usar o lanzador e o modelo de configuración propios do paquete actual, e Easy-RSA 3 non é o mesmo fluxo de traballo con ficheiros por lotes que Easy-RSA 2. A súa guía de inicio rápido para un PKI novo non é unha instrución de migración para unha autoridade existente. Antes de cambiar de versión, conserve o material da CA e os rexistros de emisión e revocación, e siga as indicacións de actualización desa versión. Inicializar unha CA de substitución dentro do directorio autoritativo para facer desaparecer un erro de descubrimento de ferramentas é a peor opción da lista.

Un cambio de versión é un proxecto; o erro de rexistro é unha tarde.

A comparación que realmente o resolve

Anote catro cousas e compáreas directamente:

• Que script se executou e que liña fallou.
• Que vista do rexistro consultou esa liña.
• Que ruta de executábel esperaba o script.
• Que instalación existe realmente na máquina.

Cando esas catro coinciden, o erro desaparece, e calquera problema de certificado que quede pode lerse coas súas propias probas en lugar de culpar a CA.