Easy-RSA di que falta a PKI? Está mirando noutro sitio

O comando detense cun ca.crt ausente ou un index.txt ausente, mentres a CA leva meses emitindo certificados. Nada cambiou na autoridade; o comando simplemente mirou noutro sitio. Easy-RSA 3 resolve un directorio PKI a partir dunha opción, unha variable de contorno, un ficheiro vars e un valor predeterminado integrado, e calquera deles pode apuntar fóra da autoridade do despregamento. Comprobe cal gañou antes de crear nada.

O erro nomea un ficheiro, non un directorio

O directorio de instalación e o directorio do emisor son dous lugares distintos. Atopar easyrsa na máquina só demostra que a ferramenta está instalada, non que atopase a autoridade na que confía o seu VPN.

Por iso reinstalar o paquete ou volver executar o paso init parece produtivo e non cambia nada.

Comprobe o selector antes que nada

En Easy-RSA 3 o selector é EASYRSA_PKI ou a opción correspondente --pki-dir. Pase unha ruta absoluta como --pki-dir=/srv/pki/office, e a resposta deixa de depender de onde estaba vostede. Ese único hábito elimina toda unha clase deste erro, sobre todo en scripts executados desde cron ou desde un checkout de CI.

Confirme primeiro a xeración, porque o costume de Easy-RSA 2 dun ficheiro vars máis build-key é un modelo distinto do que espera Easy-RSA 3. easyrsa --version imprime a xeración antes de facer calquera outra cousa, e ./easyrsa --help enumera os subcomandos: un obxectivo build-key significa 2.x, mentres que build-client-full significa 3.x. Levar unha ruta KEY_DIR antiga a unha invocación de 3.x porque o nome do directorio resulta familiar produce exactamente este erro.

Se a cadea de versión e a sintaxe do comando non concordan, detéñase e lea a documentación da versión instalada.

A precedencia explica un ficheiro vars que perdeu

A precedencia documentada é opción de liña de comandos, logo contorno, logo ficheiro vars, logo valor predeterminado integrado. Por tanto, un valor correcto en vars perde fronte a unha variable de contorno herdada, e esa é a versión silenciosa deste fallo. Inspeccione as variables previstas e a selección de ficheiros en lugar de verter todo o contorno nun ticket. A diferenza entre ambos adoita ser un segredo.

Percorra a cadea en orde e anote que fonte forneceu a ruta que usou o comando. Unha vez que o saiba, a solución é un indicador ou un export, non unha nova autoridade de certificación.

A referencia de configuración de Easy-RSA define o selector e a precedencia, e é a cita que hai que poñer no ticket.

Confirme o emisor con material público

Co emisor habitual baseado en ficheiros, lea ca.crt e compare a súa pegada co rexistro de emisor que aprobou. Un nome de suxeito coincidente non é proba de identidade, e un directorio chamado production tampouco. Só a pegada vincula o ficheiro atopado coa autoridade na que se dixo aos seus pares que confiasen.

Abonda cunha comprobación de só lectura: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Despois estableza o papel do directorio. Un directorio de solicitudes que usa un cliente non é unha base de datos de emisor, e unha clave de sinatura gardada sen conexión non ten nada que facer en cada host de VPN. Un ca.key ausente é unha propiedade de deseño nesa disposición, non un permiso para inventar unha autoridade substituta.

Se o estado realmente desapareceu

Ás veces a ruta é correcta e o estado xenuinamente non está. Un index.txt baleiro e un contador de serie reiniciado danlle unha PKI que parece sa e non pode demostrar nada sobre os certificados que nunca viu: as renovacións non revogarán os antigos, e os números novos chocarán co historial. Restaure no seu lugar a copia de seguridade aprobada da CA, porque inicializar unha PKI baleira noutro sitio só move o erro e deixa atrás unha segunda autoridade non relacionada.

Cando a ruta e o emisor coincidan, aborde o seguinte fallo polo seu propio mérito. Permission denied, unha clave de sinatura que necesita a súa frase de contrasinal e un rexistro de emisión ausente son tres avarías distintas, e só unha ten que ver co directorio que acaba de corrixir.

Nunca elimine o cifrado de claves nin amplíe os permisos de directorio para tapar un erro de ruta. O erro é barato de corrixir; a reparación non.