Easy-RSA PKI жоқ деп отыр? Ол басқа жерді қарап тұр

Команда ca.crt немесе index.txt жоқ болғандықтан тоқтайды, ал CA айлар бойы сертификаттар шығарып келеді. Органның өзінде ештеңе өзгерген жоқ; команда жай ғана басқа жерге қарады. Easy-RSA 3 PKI каталогын опциядан, орта айнымалысынан, vars файлынан және кіріктірілген әдепкі мәннен анықтайды, және олардың кез келгені орналастыру органынан алыс көрсетуі мүмкін. Бірдеңе жасамас бұрын қайсысы жеңгенін тексеріңіз.

Қате каталогты емес, файлды атайды

Орнату каталогы мен шығарушы каталогы екі бөлек орын. Құрылғыда easyrsa табу тек құралдың орнатылғанын дәлелдейді, VPN-іңіз сенетін органды тапқанын емес.

Сондықтан пакетті қайта орнату немесе init қадамын қайта іске қосу өнімді болып көрінеді және ештеңені өзгертпейді.

Барлығынан бұрын селекторды тексеріңіз

Easy-RSA 3-те селектор —EASYRSA_PKI немесе сәйкес --pki-dir опциясы. Мысалы, абсолютті жол беріңіз --pki-dir=/srv/pki/office, сонда жауап кездейсоқ тұрған жеріңізге тәуелді болуды тоқтатады. Осы бір дағды бұл қатенің тұтас класын жояды, әсіресе cron немесе CI checkout-тан іске қосылатын скрипттер үшін.

Алдымен буынды растаңыз, өйткені Easy-RSA 2-нің vars файлы және build-key дағдысы Easy-RSA 3 күтетін модельден өзгеше. easyrsa --version кез келген басқа әрекеттен бұрын буынды басып шығарады, ал ./easyrsa --help қосымша командаларды тізімдейді: мақсат build-key 2.x дегенді білдіреді, ал build-client-full 3.x дегенді білдіреді. Ескі KEY_DIR жолды каталог атауы таныс көрінгендіктен 3.x шақыруына апару дәл осы қатені тудырады.

Егер нұсқа жолы мен команда синтаксисі сәйкеспесе, тоқтап, орнатылған шығарылымның өз құжаттамасын оқыңыз.

Басымдық жеңілген vars файлын түсіндіреді

Құжатталған басымдық — команда жолының опциясы, содан кейін орта, содан кейін vars файлы, содан кейін кіріктірілген әдепкі мән. Сондықтан vars ішіндегі дұрыс мән мұраланған орта айнымалысына жеңіледі, және бұл осы ақаудың тыныш нұсқасы. Бүкіл ортаны билетке төгу орнына мақсатты айнымалылар мен файл таңдауын тексеріңіз. Екеуінің айырмашылығы әдетте құпия.

Тізбекті ретімен жүріп өтіп, команда қолданған жолды қай дереккөз бергенін белгілеңіз. Мұны білген соң, түзету — жаңа сертификат органы емес, жалауша немесе export.

Easy-RSA конфигурация анықтамалығы селектор мен басымдықты айқындайды, және билетке қоятын дәйексөз — осы.

Шығарушыны ашық материалмен растаңыз

Әдеттегі файлдық шығарушы болса, оқыңыз ca.crt және оның саусақ ізін сіз мақұлдаған шығарушы жазбасымен салыстырыңыз. Сәйкес субъект атауы — жеке бастың дәлелі емес, production атты каталог та емес. Тек саусақ ізі табылған файлды әріптестеріңізге сенуге айтылған органмен байланыстырады.

Тек оқуға арналған тексеру жеткілікті: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Содан кейін каталогтың рөлін анықтаңыз. Клиент қолданатын сұрау каталогы шығарушы дерекқоры емес, ал офлайн сақталатын қолтаңба кілтінің әр VPN хостта жұмысы жоқ. Жоқ ca.key бұл орналасуда дизайн қасиеті, алмастырушы орган ойлап табуға рұқсат емес.

Егер күй шынымен жоғалған болса

Кейде жол дұрыс, ал күй шынымен жоқ. Бос index.txt және қайта іске қосылған сериялық санауыш сізге сау көрінетін, бірақ ешқашан көрмеген сертификаттары туралы ештеңе дәлелдей алмайтын PKI береді: жаңартулар ескілерді кері қайтармайды, ал жаңа нөмірлер тарихпен соқтығысады. Оның орнына CA-ның мақұлданған сақтық көшірмесінен қалпына келтіріңіз, өйткені басқа жерде бос PKI-ны іске қосу тек қатені жылжытады және артында екінші, байланыссыз орган қалдырады.

Жол мен шығарушы келіскен соң, келесі ақауды мәніне қарай қарастырыңыз. Permission denied, құпиясөз тіркесін қажет ететін қолтаңба кілті және жоқ шығару жазбасы — үш түрлі ақау, және олардың тек біреуі жаңа ғана түзеткен каталогқа қатысты.

Жол қатесін жасыру үшін кілтті шифрлауды ешқашан алып тастамаңыз және каталог рұқсаттарын кеңейтпеңіз. Қатені түзету арзан; қалпына келтіру олай емес.