Easy-RSA bilang PKI tidak ada? Ia melihat ke tempat lain

Perintah berhenti karena ca.crt hilang atau index.txt hilang, padahal CA sudah menerbitkan sertifikat berbulan-bulan. Tidak ada yang berubah pada otoritasnya; perintahnya hanya melihat ke tempat lain. Easy-RSA 3 menentukan direktori PKI dari opsi, variabel lingkungan, file vars, dan nilai bawaan, dan salah satunya bisa menunjuk jauh dari otoritas penerapan. Periksa mana yang menang sebelum Anda membuat apa pun.

Galatnya menyebut file, bukan direktori

Direktori instalasi dan direktori penerbit adalah dua tempat berbeda. Menemukan easyrsa di mesin hanya membuktikan alatnya terpasang, bukan bahwa alat itu menemukan otoritas yang dipercaya VPN Anda.

Itu sebabnya memasang ulang paket atau menjalankan ulang langkah init terasa produktif dan tidak mengubah apa pun.

Periksa pemilih sebelum hal lain

Di Easy-RSA 3 pemilihnya adalah EASYRSA_PKI atau opsi yang sesuai --pki-dir. Berikan jalur absolut seperti --pki-dir=/srv/pki/office, dan jawabannya berhenti bergantung pada tempat Anda kebetulan berdiri. Satu kebiasaan itu menghapus seluruh kelas bug ini, terutama untuk skrip yang dijalankan dari cron atau dari checkout CI.

Pastikan dulu generasinya, karena kebiasaan Easy-RSA 2 dengan file vars ditambah build-key adalah model berbeda dari yang diharapkan Easy-RSA 3. easyrsa --version mencetak generasi sebelum melakukan hal lain, dan ./easyrsa --help mendaftar subperintah: target build-key berarti 2.x, sedangkan build-client-full berarti 3.x. Membawa jalur KEY_DIR lama ke pemanggilan 3.x karena nama direktorinya terasa familier menghasilkan persis galat ini.

Jika string versi dan sintaks perintah tidak cocok, berhentilah dan baca dokumentasi rilis yang terpasang.

Prioritas menjelaskan file vars yang kalah

Prioritas yang didokumentasikan adalah opsi baris perintah, lalu lingkungan, lalu file vars, lalu nilai bawaan. Karena itu nilai yang benar di vars kalah dari variabel lingkungan warisan, dan inilah versi diam dari kegagalan ini. Periksa variabel yang dimaksud dan pemilihan file alih-alih membuang seluruh lingkungan ke tiket. Perbedaan keduanya biasanya sebuah rahasia.

Telusuri rantainya secara berurutan dan catat sumber mana yang memasok jalur yang dipakai perintah. Setelah tahu itu, perbaikannya adalah flag atau export, bukan otoritas sertifikat baru.

Referensi konfigurasi Easy-RSA mendefinisikan pemilih dan prioritas, dan itulah kutipan yang harus dimasukkan ke tiket.

Pastikan penerbit dengan materi publik

Dengan penerbit berbasis file yang biasa, baca ca.crt dan cocokkan sidik jarinya dengan catatan penerbit yang Anda setujui. Nama subjek yang cocok bukan bukti identitas, dan direktori bernama production juga bukan. Hanya sidik jari yang mengikat file yang Anda temukan ke otoritas yang dipercaya rekan Anda.

Pemeriksaan hanya-baca sudah cukup: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Lalu tetapkan peran direktori itu. Direktori permintaan yang dipakai klien bukan basis data penerbit, dan kunci penandatangan yang disimpan offline tidak ada urusannya di setiap host VPN. Hilangnya ca.key adalah sifat desain pada tata letak itu, bukan izin mengarang otoritas pengganti.

Jika keadaannya benar-benar hilang

Kadang jalurnya benar dan keadaannya memang tidak ada. File index.txt kosong dan penghitung seri yang dimulai ulang memberi Anda PKI yang terlihat sehat dan tidak bisa membuktikan apa pun tentang sertifikat yang tidak pernah dilihatnya: pembaruan tidak akan mencabut yang lama, dan nomor baru akan bertabrakan dengan riwayat. Pulihkan dari cadangan CA yang disetujui, karena menginisialisasi PKI kosong di tempat lain hanya memindahkan galat dan meninggalkan otoritas kedua yang tidak terkait.

Setelah jalur dan penerbit sepakat, tangani kegagalan berikutnya berdasarkan hakikatnya. Permission denied, kunci penandatangan yang memerlukan frasa sandinya, dan catatan penerbitan yang hilang adalah tiga masalah berbeda, dan hanya satu yang menyangkut direktori yang baru Anda perbaiki.

Jangan pernah melepas enkripsi kunci atau memperlebar izin direktori untuk menutupi kesalahan jalur. Kesalahannya murah diperbaiki; pemulihannya tidak.