Easy-RSA segir að PKI vanti? Það leitar annars staðar

Skipunin stöðvast vegna ca.crt sem vantar eða index.txt sem vantar, þótt CA hafi verið að gefa út skírteini í marga mánuði. Ekkert breyttist hjá valdinu; skipunin leit einfaldlega annars staðar. Easy-RSA 3 ákvarðar PKI-möppu út frá valkosti, umhverfisbreytu, vars-skrá og innbyggðu sjálfgefnu gildi, og hvað sem er af þessu getur vísað burt frá valdi uppsetningarinnar. Athugaðu hver vann áður en þú býrð til eitthvað.

Villan nefnir skrá, ekki möppu

Uppsetningarmappan og mappa útgefandans eru tveir ólíkir staðir. Að finna easyrsa á vélinni sannar aðeins að tólið sé uppsett, ekki að það hafi fundið valdið sem VPN þitt treystir.

Þess vegna virðist enduruppsetning pakkans eða endurkeyrsla init-skrefsins árangursrík og breytir engu.

Athugaðu valið fyrir allt annað

Í Easy-RSA 3 er valið EASYRSA_PKI eða samsvarandi --pki-dir valkostur. Gefðu upp algjöra slóð eins og --pki-dir=/srv/pki/office, og svarið hættir að ráðast af því hvar þú stóðst fyrir tilviljun. Þessi eini vani fjarlægir heilan flokk af þessari villu, sérstaklega fyrir skriftur sem keyrðar eru frá cron eða frá CI-útgáfu.

Staðfestu fyrst kynslóðina, því vani Easy-RSA 2 með vars-skrá plús build-key er annað líkan en það sem Easy-RSA 3 gerir ráð fyrir. easyrsa --version prentar kynslóðina áður en það gerir nokkuð annað, og ./easyrsa --help telur upp undirskipanir: mark build-key þýðir 2.x, en build-client-full þýðir 3.x. Að flytja gamla KEY_DIR-slóð inn í 3.x kall vegna þess að mappuheitið virðist kunnuglegt framleiðir nákvæmlega þessa villu.

Ef útgáfustrengurinn og setningafræði skipunarinnar stemma ekki, stöðvaðu og lestu skjöl uppsettrar útgáfu.

Forgangur skýrir vars-skrá sem tapaði

Skjalfesti forgangurinn er valkostur á skipanalínu, þá umhverfi, þá vars-skrá, þá innbyggt sjálfgefið gildi. Því tapar rétt gildi í vars fyrir arfgefinni umhverfisbreytu, og það er hljóða útgáfan af þessari bilun. Skoðaðu fyrirhugaðar breytur og skráarvalið í stað þess að hella öllu umhverfinu í miða. Munurinn á þessu tvennu er venjulega leyndarmál.

Farðu í gegnum keðjuna í röð og taktu eftir hvaða uppspretta gaf slóðina sem skipunin notaði. Þegar þú veist það er lagfæringin fáni eða export, ekki nýtt skírteinisvald.

Easy-RSA stillingarviðmiðunin skilgreinir valið og forganginn, og það er tilvísunin sem á að setja í miðann.

Staðfestu útgefandann með opinberu efni

Hjá venjulegum skráarbyggðum útgefanda skaltu lesa ca.crt og para fingrafar þess við útgefandafærsluna sem þú samþykktir. Sammála viðfangsefnanafn er ekki sönnun um auðkenni, og mappa sem heitir production er það ekki heldur. Aðeins fingrafarið tengir skrána sem þú fannst við valdið sem jafningjum þínum var sagt að treysta.

Nægilegt er að athuga aðeins fyrir lestur: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Ákvarðaðu síðan hlutverk möppunnar. Beiðnamappa sem biðlari notar er ekki gagnagrunnur útgefandans, og undirritunarlykill sem geymdur er án nettengingar á ekkert erindi á hverjum VPN-vél. Vantar ca.key er hönnunareiginleiki í þeirri uppsetningu, ekki leyfi til að finna upp staðgengilsvald.

Ef ástandið er virkilega horfið

Stundum er slóðin rétt og ástandið er virkilega ekki þar. Tóm index.txt og endurræstur raðnúmeringarteljari gefa þér PKI sem lítur heilbrigð út og getur ekkert sannað um skírteinin sem hún sá aldrei: endurnýjanir munu ekki afturkalla þau gömlu, og nýju númerin munu rekast á við söguna. Endurheimtu þess í stað úr samþykktri öryggisafriti CA, því að frumstilla tóma PKI annars staðar færir villuna bara til og skilur eftir annað, ótengt vald.

Þegar slóðin og útgefandinn stemma, taktu næstu bilun út frá eigin verðleikum. Permission denied, undirritunarlykill sem þarf aðgangssetningu sína og vantar útgáfufærslu eru þrjár ólíkar bilanir, og aðeins ein þeirra snýr að möppunni sem þú lagaðir rétt í þessu.

Fjarlægðu aldrei dulritun lykla og víkkaðu aldrei möppuheimildir til að hylja slóðarvillu. Villan er ódýr að laga; viðgerðin er það ekki.