Az Easy-RSA szerint hiányzik a PKI? Máshol keres

A parancs egy hiányzó ca.crt vagy egy hiányzó index.txt miatt áll le, pedig a CA hónapok óta állít ki tanúsítványokat. Magán a hatóságon semmi sem változott; a parancs egyszerűen máshol keresett. Az Easy-RSA 3 egy PKI-könyvtárat egy kapcsolóból, egy környezeti változóból, egy vars-fájlból és egy beépített alapértékből old fel, és ezek bármelyike elmutathat a telepítés hatóságától. Ellenőrizze, melyik győzött, mielőtt bármit létrehozna.

A hiba fájlt nevez meg, nem könyvtárat

A telepítési könyvtár és a kibocsátó könyvtára két különböző hely. Ha easyrsa megtalálható a gépen, az csak azt bizonyítja, hogy az eszköz telepítve van, nem azt, hogy megtalálta a hatóságot, amelyben a VPN bízik.

Ezért tűnik eredményesnek a csomag újratelepítése vagy az init lépés újrafuttatása, és mégsem változtat semmin.

Minden más előtt ellenőrizze a választót

Az Easy-RSA 3-ban a választó a EASYRSA_PKI vagy a hozzá tartozó --pki-dir kapcsoló. Adjon meg egy abszolút útvonalat, például --pki-dir=/srv/pki/office, és a válasz már nem függ attól, hol állt éppen. Ez az egy szokás a hiba egész osztályát megszünteti, különösen a cronból vagy CI-checkoutból futtatott szkriptek esetében.

Először erősítse meg a generációt, mert az Easy-RSA 2 szokása egy vars-fájllal és build-key-val más modell, mint amit az Easy-RSA 3 vár. easyrsa --version kiírja a generációt, mielőtt bármi mást tenne, és ./easyrsa --help felsorolja az alkapcsolókat: egy build-key cél 2.x-et jelent, míg a build-client-full 3.x-et jelent. Egy régi KEY_DIR útvonal átvitele egy 3.x hívásba, mert a könyvtár neve ismerősnek tűnik, pontosan ezt a hibát okozza.

Ha a verziószöveg és a parancs szintaxisa nem egyezik, álljon meg, és olvassa el a telepített kiadás saját dokumentációját.

Az elsőbbség megmagyarázza az elrontott vars-fájlt

A dokumentált elsőbbség a parancssori kapcsoló, majd a környezet, majd a vars-fájl, majd a beépített alapérték. Ezért egy helyes érték a vars-ban alulmarad egy örökölt környezeti változóval szemben, és ez a hiba csendes változata. Vizsgálja meg a szándékolt változókat és a fájlválasztást ahelyett, hogy az egész környezetet egy jegybe öntené. A kettő közötti különbség általában egy titok.

Járja végig a láncot sorrendben, és jegyezze fel, melyik forrás adta a parancs által használt útvonalat. Ha ezt tudja, a javítás egy kapcsoló vagy egy export, nem egy új tanúsító hatóság.

Az Easy-RSA konfigurációs referenciája meghatározza a választót és az elsőbbséget, és ez az a hivatkozás, amelyet a jegybe kell tenni.

Erősítse meg a kibocsátót nyilvános anyaggal

A szokásos fájlalapú kibocsátónál olvassa el a ca.crt-t, és egyeztesse az ujjlenyomatát azzal a kibocsátói rekorddal, amelyet jóváhagyott. Az egyező tárgynév nem identitásbizonyíték, és egy production nevű könyvtár sem az. Csak az ujjlenyomat köti a megtalált fájlt ahhoz a hatósághoz, amelyet a partnereinek megmondtak, hogy megbízzanak benne.

Elég egy csak olvasható ellenőrzés: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Ezután állapítsa meg a könyvtár szerepét. Egy kliens által használt kérésekönyvtár nem kibocsátói adatbázis, és egy offline tárolt aláírókulcsnak nincs keresnivalója minden VPN-gazdagépen. A hiányzó ca.key ebben az elrendezésben tervezési tulajdonság, nem engedély egy helyettesítő hatóság kitalálására.

Ha az állapot valóban eltűnt

Néha az útvonal helyes, és az állapot valóban nincs ott. Egy üres index.txt és egy újraindított sorozatszámláló olyan PKI-t ad, amely egészségesnek látszik, és semmit sem tud bizonyítani azokról a tanúsítványokról, amelyeket soha nem látott: a megújítások nem vonják vissza a régieket, és az új számok ütköznek az előzményekkel. Inkább a CA jóváhagyott biztonsági másolatából állítsa helyre, mert egy üres PKI máshol történő inicializálása csak áthelyezi a hibát, és hátrahagy egy második, nem kapcsolódó hatóságot.

Amikor az útvonal és a kibocsátó egyezik, a következő hibát a maga érdeme szerint kezelje. A Permission denied, a jelszómondatot igénylő aláírókulcs és a hiányzó kiadási rekord három különböző hiba, és csak az egyik szól arról a könyvtárról, amelyet éppen most javított.

Soha ne távolítsa el a kulcstitkosítást, és ne bővítse a könyvtárengedélyeket egy útvonalhiba elfedésére. A hibát olcsó javítani; a helyreállítást nem.