Easy-RSA pogreška registra u Windowsu: provjerite prikaz registra

Batch datoteka staje s porukom “Sustav nije mogao pronaći navedeni ključ ili vrijednost registra” i svi pretpostavljaju da je certifikacijsko tijelo pokvareno. Nije, ili barem još nije: skripta je pala dok je tražila softver, prije nego što je zamolila Easy-RSA da učini bilo što s ključem. Taj je redoslijed važan jer znači da je popravak problem pretraživanja, a PKI samo promatrač. Čitanje retka koji je pao cijela je dijagnoza i traje kraće od bilo kojeg zaobilaznog rješenja.

Pogreška se javlja prije nego što se CA dotakne

Stare Easy-RSA 2 batch datoteke pronalaze OpenSSL ili instalaciju OpenVPN upitom prema registru, a zatim postavljaju varijable na temelju onoga što pronađu. Kad upit ne vrati ništa, skripta se prekida prije nego što se izvrši ikakva operacija s certifikatom.

Poruka o ključu registra stoga je dokaz o okruženju skripte, a ne o direktoriju CA.

Dva prikaza registra, jedna batch datoteka

32-bitni proces i 64-bitni proces mogu vidjeti različite prikaze registra, a batch datoteka koja pretpostavlja jedan može promašiti unos koji postoji u drugom. Ove usporedbe samo za čitanje pokazuju razliku za stari ključ koji rabe neke stare skripte:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referenca za reg query dokumentira birače prikaza. Pokrenite oba u istom kontekstu kao skripta koja je pala jer prikaz ovisi o tome kako se proces pokreće, kao i o zastavicama. Ako unos postoji samo u jednom prikazu, usporedite putanju na koju pokazuje s instaliranim alatima prije nego što išta promijenite. Ključ koji postoji ali pokazuje na stari instalacijski direktorij drukčija je greška od ključa koji nedostaje.

Ako nijedan prikaz nema unos, instalater ga nikad nije stvorio i ručno stvaranje vrijednosti neće osposobiti alate.

Ne dodajte /reg:64 bezuvjetno

Primamljiv popravak jest dodati 64-bitni birač svakom upitu i nastaviti dalje. Na nekim je instalacijama to ispravno, a na drugima šalje skriptu u prikaz koji doista nema ništa.

Promijenite pretragu tek nakon što vidite koji prikaz sadrži očekivanu vrijednost.

Otkrivanje nije popravak PKI-ja

Ova pogreška ne dokazuje da su CA certifikat, ključ za potpisivanje, datoteka serijskih brojeva ili baza opoziva oštećeni. Pokretanje clean-all kopiranog iz starog priručnika uništilo bi posve drugi skup objekata, a pretraga bi ostala pokvarena. Držite te dvije aktivnosti odvojeno u glavi i u ticketu. Ako kasnije padne operacija s certifikatom, procijenite je prema njezinim vlastitim dokazima.

Napravite sigurnosnu kopiju direktorija CA prije bilo kojeg eksperimenta, čak i onog za koji ste sigurni da je samo za čitanje.

Prelazak na Easy-RSA 3 je migracija

Održavana instalacija trebala bi rabiti vlastiti pokretač i model konfiguracije trenutačnog paketa, i Easy-RSA 3 nije isti tijek rada s batch datotekama kao Easy-RSA 2. Njegov brzi početak za novi PKI nije uputa za migraciju postojećeg tijela. Prije promjene verzija sačuvajte CA materijal te evidenciju izdavanja i opoziva i slijedite upute za nadogradnju te verzije. Inicijalizacija zamjenskog CA unutar mjerodavnog direktorija da bi greška pronalaženja alata nestala najgora je opcija na popisu.

Promjena verzije je projekt; greška registra je jedno poslijepodne.

Usporedba koja to doista rješava

Zapišite četiri stvari i izravno ih usporedite:

• Koja se skripta izvršila i koji je redak pao.
• Koji je prikaz registra taj redak tražio.
• Koju je putanju izvršne datoteke skripta očekivala.
• Koja instalacija doista postoji na stroju.

Kad se ta četiri podudaraju, pogreške nema, a svaki preostali problem s certifikatom može se čitati prema njegovim vlastitim dokazima umjesto da se krivi CA.