Easy-RSA-ն ասում է, թե PKI-ն բացակայում է? Այն այլ տեղ է նայում

Հրամանը կանգ է առնում բացակայող ca.crt-ի կամ բացակայող index.txt-ի պատճառով, մինչդեռ CA-ն ամիսներ շարունակ վկայագրեր է թողարկում։ Ինքը՝ մարմնում, ոչինչ չի փոխվել. հրամանը պարզապես այլ տեղ է նայել։ Easy-RSA 3-ը PKI պանակը որոշում է ընտրանքից, միջավայրի փոփոխականից, vars ֆայլից և ներկառուցված լռելյայն արժեքից, և դրանցից ցանկացածը կարող է մատնանշել տեղակայման մարմնից հեռու։ Նախքան ինչ-որ բան ստեղծելը ստուգեք, թե որն է հաղթել։

Սխալը նշում է ֆայլ, ոչ պանակ

Տեղադրման պանակը և թողարկողի պանակը երկու տարբեր տեղեր են։ Գտնելը easyrsa մեքենայի վրա միայն ապացուցում է, որ գործիքը տեղադրված է, ոչ թե որ այն գտել է ձեր VPN-ի վստահած մարմինը։

Այդ պատճառով փաթեթի վերատեղադրումը կամ init քայլի կրկնումը արդյունավետ է թվում և ոչինչ չի փոխում։

Ամենից առաջ ստուգեք ընտրիչը

Easy-RSA 3-ում ընտրիչը EASYRSA_PKI-ն է կամ համապատասխան --pki-dir ընտրանքը։ Տվեք բացարձակ ուղի, օրինակ --pki-dir=/srv/pki/office, և պատասխանն այլևս կախված չէ նրանից, թե որտեղ էիք պատահաբար կանգնած։ Այս մեկ սովորությունը վերացնում է այս սխալի մի ամբողջ դասը, հատկապես cron-ից կամ CI checkout-ից գործարկվող սկրիպտների համար։

Նախ հաստատեք սերունդը, քանի որ Easy-RSA 2-ի vars ֆայլի և build-key սովորությունը տարբեր մոդել է, քան այն, ինչ սպասում է Easy-RSA 3-ը։ easyrsa --version տպում է սերունդը նախքան որևէ այլ բան անելը, և ./easyrsa --help թվարկում է ենթահրամանները. թիրախ build-key նշանակում է 2.x, մինչդեռ build-client-full նշանակում է 3.x։ Հին KEY_DIR ուղին 3.x կանչի մեջ տանելը, որովհետև պանակի անունը ծանոթ է թվում, առաջացնում է հենց այս սխալը։

Եթե տարբերակի տողը և հրամանի շարահյուսությունը չեն համընկնում, կանգ առեք և կարդացեք տեղադրված թողարկման սեփական փաստաթղթերը։

Առաջնահերթությունը բացատրում է պարտված vars ֆայլը

Փաստաթղթավորված առաջնահերթությունը հրամանի տողի ընտրանքն է, ապա միջավայրը, ապա vars ֆայլը, ապա ներկառուցված լռելյայնը։ Ուստի ճիշտ արժեքը vars-ում պարտվում է ժառանգված միջավայրի փոփոխականին, և սա այս ձախողման լուռ տարբերակն է։ Քննեք նախատեսված փոփոխականներն ու ֆայլի ընտրությունը, փոխանակ ամբողջ միջավայրը թափեք տոմսի մեջ։ Երկուսի տարբերությունը սովորաբար գաղտնիք է։

Անցեք շղթան հերթականությամբ և նշեք, թե որ աղբյուրն է տվել հրամանի օգտագործած ուղին։ Երբ դա իմանաք, ուղղումը դրոշակ է կամ export, ոչ թե նոր վկայագրային մարմին։

Easy-RSA-ի կազմաձևման տեղեկատուն սահմանում է ընտրիչը և առաջնահերթությունը, և հենց դա է տոմսի մեջ դնելու մեջբերումը։

Հաստատեք թողարկողին հանրային նյութով

Սովորական ֆայլային թողարկողի դեպքում կարդացեք ca.crt-ը և համեմատեք նրա մատնահետքը ձեր հաստատած թողարկողի գրառման հետ։ Համընկնող սուբյեկտի անունը ինքնության ապացույց չէ, և production անունով պանակը նույնպես։ Միայն մատնահետքն է կապում գտնված ֆայլը այն մարմնի հետ, որին ձեր գործընկերներին ասվել է վստահել։

Բավական է միայն կարդալու ստուգում. openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256 ։

Այնուհետև որոշեք պանակի դերը։ Հաճախորդի օգտագործած հարցումների պանակը թողարկողի տվյալների բազա չէ, և առանց ցանցի պահվող ստորագրության բանալին բիզնես չունի յուրաքանչյուր VPN հոսթում։ Բացակայող ca.key-ը այդ դասավորության մեջ նախագծային հատկություն է, ոչ թե փոխարինող մարմին հորինելու թույլտվություն։

Եթե վիճակն իսկապես անհետացել է

Երբեմն ուղին ճիշտ է, և վիճակն իսկապես այնտեղ չէ։ Դատարկ index.txt-ը և վերագործարկված հերթական հաշվիչը ձեզ տալիս են PKI, որը առողջ է թվում և ոչինչ չի կարող ապացուցել այն վկայագրերի մասին, որոնք երբեք չի տեսել. թարմացումները չեն չեղարկի հները, և նոր համարները կբախվեն պատմությանը։ Փոխարենը վերականգնեք CA-ի հաստատված պահուստից, քանի որ դատարկ PKI-ն այլ տեղ սկզբնավորելը միայն տեղափոխում է սխալը և հետևում թողնում երկրորդ, անկապ մարմին։

Երբ ուղին և թողարկողը համաձայն են, հաջորդ ձախողումը դիտարկեք ըստ էության։ Permission denied, գաղտնաբառ արտահայտություն պահանջող ստորագրության բանալին և բացակայող թողարկման գրառումը երեք տարբեր խափանումներ են, և դրանցից միայն մեկն է այն պանակի մասին, որը հենց նոր ուղղեցիք։

Երբեք մի հեռացրեք բանալու գաղտնագրումը և մի ընդարձակեք պանակի թույլտվությունները՝ ուղու սխալը քողարկելու համար։ Սխալը էժան է ուղղել. վերանորոգումը՝ ոչ։