Easy-RSA rendszerleíró hibája Windowson: ellenőrizze a rendszerleíró nézetet

A kötegfájl megáll a következő üzenettel: „A rendszer nem találta a megadott rendszerleíró kulcsot vagy értéket”, és mindenki azt feltételezi, hogy a tanúsító hatóság tönkrement. Nem az, vagy legalábbis még nem: a szkript a szoftver keresése közben hibázott, mielőtt bármit is kért volna az Easy-RSA-tól egy kulccsal kapcsolatban. Ez a sorrend számít, mert azt jelenti, hogy a javítás keresési probléma, a PKI pedig csak szemlélő. A hibázó sor elolvasása maga a teljes diagnózis, és kevesebb időt vesz igénybe, mint bármelyik kerülő megoldás.

A hiba még a CA érintése előtt történik

A régi Easy-RSA 2 kötegfájlok a rendszerleíró lekérdezésével keresik meg az OpenSSL-t vagy a OpenVPN telepítését, majd a találtak alapján állítanak be változókat. Ha a lekérdezés nem ad vissza semmit, a szkript leáll, mielőtt bármilyen tanúsítványművelet lefutna.

A rendszerleíró kulcsról szóló üzenet tehát a szkript környezetére vonatkozó bizonyíték, nem a CA könyvtárára.

Két rendszerleíró nézet, egy kötegfájl

Egy 32 bites és egy 64 bites folyamat különböző rendszerleíró nézeteket láthat, és egy kötegfájl, amely az egyiket feltételezi, kihagyhatja a másikban létező bejegyzést. Ezek a csak olvasható összehasonlítások a régi kulcs különbségét mutatják, amelyet egyes régi szkriptek használnak:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

A reg query-referencia dokumentálja a nézetválasztókat. Mindkettőt a hibázó szkripttel azonos környezetben futtassa, mert a nézet függ attól is, hogyan indul a folyamat, és a kapcsolóktól is. Ha a bejegyzés csak egy nézetben létezik, hasonlítsa össze a mutatott útvonalat a telepített eszközökkel, mielőtt bármit módosítana. A létező, de régi telepítési könyvtárra mutató kulcs más hiba, mint a hiányzó kulcs.

Ha egyik nézetben sincs bejegyzés, a telepítő soha nem hozta létre, és a kézzel előállított érték nem fogja működésre bírni az eszközöket.

Ne adja hozzá a /reg:64 kapcsolót feltétel nélkül

A csábító javítás az, hogy minden lekérdezéshez hozzáfűzi a 64 bites választót, és továbblép. Egyes telepítéseken ez helyes, másokon viszont olyan nézetbe küldi a szkriptet, amelynek valóban semmi sincs.

Csak azután változtassa meg a keresést, hogy látta, melyik nézet tartalmazza a várt értéket.

A felderítés nem PKI-javítás

Ez a hiba nem bizonyítja, hogy a CA-tanúsítvány, az aláírókulcs, a sorozatszámfájl vagy a visszavonási adatbázis megsérült. Egy régi útmutatóból másolt clean-all futtatása teljesen más objektumkészletet pusztítana el, miközben a keresés törött maradna. Tartsa a két tevékenységet külön a fejében és a jegyben. Ha később egy tanúsítványművelet meghiúsul, a saját bizonyítékai alapján értékelje.

Készítsen biztonsági másolatot a CA könyvtáráról minden kísérlet előtt, még arról is, amelyről biztos benne, hogy csak olvasható.

Az Easy-RSA 3-ra való áttérés migráció

A karbantartott telepítésnek az aktuális csomag saját indítóját és konfigurációs modelljét kell használnia, és az Easy-RSA 3 nem ugyanaz a kötegfájl-munkafolyamat, mint az Easy-RSA 2. Az új PKI-hoz adott gyorsindítója nem migrációs útmutató egy meglévő hatóság számára. A verziók váltása előtt őrizze meg a CA anyagát, valamint a kiállítási és visszavonási nyilvántartásokat, és kövesse az adott verzió frissítési útmutatását. A csere-CA inicializálása a mérvadó könyvtáron belül, hogy eltűnjön egy eszközfelderítési hiba, a lista legrosszabb lehetősége.

A verzióváltás egy projekt; a rendszerleíró hiba egy délután.

Az az összehasonlítás, amely valóban megoldja

Írjon le négy dolgot, és hasonlítsa össze őket közvetlenül:

• Melyik szkript futott, és melyik sor hibázott.
• Melyik rendszerleíró nézetet kérdezte az a sor.
• Melyik végrehajtható útvonalat várta a szkript.
• Melyik telepítés létezik valóban a gépen.

Amikor ez a négy egyezik, a hiba eltűnik, és minden megmaradó tanúsítványprobléma a saját bizonyítékai alapján olvasható, ahelyett hogy a CA-t hibáztatnák.