Easy-RSA ამბობს, რომ PKI არ არის? ის სხვაგან იყურება

ბრძანება ჩერდება ca.crt-ის ან index.txt-ის არარსებობის გამო, თუმცა CA თვეების განმავლობაში გასცემს სერტიფიკატებს. თავად ორგანოში არაფერი შეცვლილა; ბრძანებამ უბრალოდ სხვაგან შეხედა. Easy-RSA 3 PKI დირექტორიას განსაზღვრავს ოპციიდან, გარემოს ცვლადიდან, vars ფაილიდან და ჩაშენებული ნაგულისხმევი მნიშვნელობიდან და ნებისმიერმა მათგანმა შეიძლება განლაგების ორგანოსგან შორს მიუთითოს. სანამ რამეს შექმნით, შეამოწმეთ რომელმა მოიგო.

შეცდომა ფაილს ასახელებს და არა დირექტორიას

ინსტალაციის დირექტორია და გამომცემლის დირექტორია ორი სხვადასხვა ადგილია. easyrsa მანქანაზე პოვნა მხოლოდ იმას ამტკიცებს, რომ ხელსაწყო დაყენებულია და არა იმას, რომ მან იპოვა ორგანო, რომელსაც თქვენი VPN ენდობა.

ამიტომ პაკეტის ხელახლა დაყენება ან init ნაბიჯის ხელახლა გაშვება პროდუქტულად გამოიყურება და არაფერს ცვლის.

ყველაფერზე ადრე შეამოწმეთ ამომრჩევი

Easy-RSA 3-ში ამომრჩევია EASYRSA_PKI ან შესაბამისი --pki-dir ოპცია. მიუთითეთ აბსოლუტური გზა, მაგალითად --pki-dir=/srv/pki/office, და პასუხი აღარ იქნება დამოკიდებული იმაზე, სადაც შემთხვევით იდექით. ეს ერთი ჩვევა ამ შეცდომის მთელ კლასს აქრობს, განსაკუთრებით cron-იდან ან CI checkout-იდან გაშვებული სკრიპტებისთვის.

ჯერ დაადასტურეთ თაობა, რადგან Easy-RSA 2-ის vars ფაილისა და build-key ჩვევა სხვა მოდელია, ვიდრე ის, რასაც Easy-RSA 3 ელოდება. easyrsa --version თაობას ბეჭდავს სანამ სხვა რამეს გააკეთებს, და ./easyrsa --help ჩამოთვლის ქვებრძანებებს: სამიზნე build-key ნიშნავს 2.x-ს, ხოლო build-client-full ნიშნავს 3.x-ს. ძველი KEY_DIR გზის 3.x გამოძახებაში გადატანა იმიტომ, რომ დირექტორიის სახელი ნაცნობად გამოიყურება, ზუსტად ამ შეცდომას იწვევს.

თუ ვერსიის სტრიქონი და ბრძანების სინტაქსი არ თანხვედრიან, გაჩერდით და წაიკითხეთ დაყენებული გამოცემის საკუთარი დოკუმენტაცია.

უპირატესობა ხსნის წაგებულ vars ფაილს

დოკუმენტირებული უპირატესობაა ბრძანების ხაზის ოპცია, შემდეგ გარემო, შემდეგ vars ფაილი, შემდეგ ჩაშენებული ნაგულისხმევი. ამიტომ სწორი მნიშვნელობა vars-ში აგებს მემკვიდრეობით მიღებულ გარემოს ცვლადთან, და ეს ამ მარცხის წყნარი ვერსიაა. გამოიკვლიეთ განზრახული ცვლადები და ფაილის არჩევა, ნაცვლად იმისა, რომ მთელი გარემო ბილეთში ჩაყაროთ. ამ ორს შორის განსხვავება ჩვეულებრივ საიდუმლოა.

თანმიმდევრულად გაიარეთ ჯაჭვი და აღნიშნეთ რომელმა წყარომ მოგვცა ბრძანების მიერ გამოყენებული გზა. როცა ეს იცით, გასწორება არის დროშა ან export და არა ახალი სერტიფიკატის ორგანო.

Easy-RSA-ის კონფიგურაციის ცნობარი განსაზღვრავს ამომრჩევს და უპირატესობას და სწორედ ეს არის ბილეთში ჩასასმელი ციტატა.

დაადასტურეთ გამომცემელი საჯარო მასალით

ჩვეულებრივი ფაილური გამომცემლის შემთხვევაში წაიკითხეთ ca.crt და შეადარეთ მისი თითის ანაბეჭდი თქვენ მიერ დამტკიცებულ გამომცემლის ჩანაწერს. დამთხვეული სუბიექტის სახელი იდენტობის მტკიცებულება არ არის და production სახელის დირექტორიაც არა. მხოლოდ თითის ანაბეჭდი აკავშირებს ნაპოვნ ფაილს იმ ორგანოსთან, რომლის ენდობაც თქვენს პირებს უთხრეს.

საკმარისია მხოლოდ-კითხვითი შემოწმება: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

შემდეგ დაადგინეთ დირექტორიის როლი. მოთხოვნების დირექტორია, რომელსაც კლიენტი იყენებს, გამომცემლის მონაცემთა ბაზა არ არის, და ოფლაინ შენახულ ხელმოწერის გასაღებს ყოველ VPN ჰოსტზე საქმე არ აქვს. დაკარგული ca.key ამ განლაგებაში დიზაინის თვისებაა და არა შემცვლელი ორგანოს გამოგონების ნებართვა.

თუ მდგომარეობა ნამდვილად გაქრა

ზოგჯერ გზა სწორია და მდგომარეობა ნამდვილად არ არის. ცარიელი index.txt და გადატვირთული სერიული მრიცხველი გაძლევთ PKI-ს, რომელიც ჯანმრთელად გამოიყურება და ვერაფერს ამტკიცებს იმ სერტიფიკატებზე, რომლებიც არასდროს უნახავს: განახლებები ძველებს არ გააუქმებს და ახალი ნომრები ისტორიას შეეჯახება. ამის ნაცვლად აღადგინეთ CA-ის დამტკიცებული რეზერვიდან, რადგან ცარიელი PKI-ის სხვაგან ინიციალიზაცია მხოლოდ შეცდომას გადააადგილებს და ტოვებს მეორე, დაუკავშირებელ ორგანოს.

როცა გზა და გამომცემელი თანხვედრიან, შემდეგი მარცხი განიხილეთ არსებითად. Permission denied, პაროლის ფრაზას მოთხოვნილი ხელმოწერის გასაღები და დაკარგული გაცემის ჩანაწერი სამი განსხვავებული ხარვეზია და მათგან მხოლოდ ერთი ეხება დირექტორიას, რომელიც ახლახან გაასწორეთ.

არასოდეს მოხსნათ გასაღების დაშიფვრა და არ გააფართოოთ დირექტორიის ნებართვები გზის შეცდომის დასაფარად. შეცდომის გასწორება იაფია; აღდგენა არა.