Easy-RSA PKI жок деп жатабы? Ал башка жерди карап жатат

Команда ca.crt же index.txt жок болгондуктан токтойт, ал эми CA айлар бою сертификаттарды чыгарып келет. Органдын өзүндө эч нерсе өзгерген жок; команда жөн гана башка жерди карады. Easy-RSA 3 PKI каталогун опциядан, чөйрө өзгөрмөсүнөн, vars файлынан жана курулган демейки мааниден аныктайт, жана алардын кайсынысы болбосун жайгаштыруу органынан алыс көрсөтүшү мүмкүн. Бир нерсе жасоодон мурун кайсынысы жеңгенин текшериңиз.

Ката каталогду эмес, файлды атайт

Орнотуу каталогу менен чыгаруучу каталогу эки башка жер. Машинада easyrsa табуу куралдын орнотулганын гана далилдейт, VPN ишенген органды тапканын эмес.

Ошондуктан пакетти кайра орнотуу же init кадамын кайра иштетүү пайдалуу сезилип, эч нерсени өзгөртпөйт.

Баарынан мурун селекторду текшериңиз

Easy-RSA 3тө селектор —EASYRSA_PKI же туура келген --pki-dir опция. Мисалы, абсолюттук жолду бериңиз --pki-dir=/srv/pki/office, жана жооп кокустан турган жериңизге көз каранды болбойт. Бул бир адат бул катанын бүтүндөй классын жок кылат, өзгөчө cron же CI checkoutтан иштетилген скрипттер үчүн.

Адегенде муунду ырастаңыз, анткени Easy-RSA 2нин vars файлы жана build-key адаты Easy-RSA 3 күткөн моделден башка. easyrsa --version башка нерсе кылганга чейин муунду басып чыгарат, жана ./easyrsa --help кошумча командаларды тизмелейт: максат build-key 2.x дегенди билдирет, ал эми build-client-full 3.x дегенди билдирет. Эски KEY_DIR жолду каталогдун аталышы тааныш көрүнгөндүктөн 3.x чакыруусуна алып баруу так ушул катаны жаратат.

Эгер версия сабы менен команда синтаксиси дал келбесе, токтоп, орнотулган чыгарылыштын өз документтерин окуңуз.

Артыкчылык жеңилген vars файлын түшүндүрөт

Документтелген артыкчылык — команда сабынын опциясы, анан чөйрө, анан vars файлы, анан курулган демейки маани. Ошондуктан vars ичиндеги туура маани мурастоо аркылуу келген чөйрө өзгөрмөсүнө жеңилет, жана бул бул бузулуунун тынч версиясы. Бүт чөйрөнү билетке төгүүнүн ордуна көздөлгөн өзгөрмөлөрдү жана файл тандоону текшериңиз. Экөөнүн айырмасы адатта жашыруун нерсе.

Тизмени тартиби менен өтүп, команда колдонгон жолду кайсы булак бергенин белгилеңиз. Муну билгенден кийин, оңдоо — жаңы сертификат органы эмес, желек же export.

Easy-RSA конфигурация маалымдамасы селекторду жана артыкчылыкты аныктайт, жана билетке коюлуучу цитата — ушул.

Чыгаруучуну ачык материал менен ырастаңыз

Кадимки файлдык чыгаруучу болсо, окуңуз ca.crt жана анын манжа изин сиз бекиткен чыгаруучу жазуусу менен салыштырыңыз. Дал келген субъект аты — инсандыктын далили эмес, production аттуу каталог да эмес. Табылган файлды кесиптештериңизге ишенүү айтылган орган менен байланыштырган нерсе — манжа изи гана.

Окууга гана арналган текшерүү жетиштүү: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Анан каталогдун ролун аныктаңыз. Кардар колдонгон сурам каталогу чыгаруучунун маалымат базасы эмес, жана офлайн сакталган кол тамга ачкычынын ар бир VPN хосттто иши жок. Жок ca.key бул жайгашууда дизайн касиети, алмаштыруучу орган ойлоп табууга уруксат эмес.

Эгер абал чын эле жоголгон болсо

Кээде жол туура, ал эми абал чын эле жок. Бош index.txt жана кайра иштетилген сериялык эсептегич сизге ден соолугу жакшы көрүнгөн, бирок эч качан көрбөгөн сертификаттары тууралуу эч нерсе далилдей албаган PKI берет: жаңыртуулар эскилерин жокко чыгарбайт, жаңы номерлер тарых менен кагылышат. Анын ордуна CAнын бекитилген камдык көчүрмөсүнөн калыбына келтириңиз, анткени башка жерде бош PKIни иштетүү катаны жылдырат жана артында экинчи, байланышсыз органды калтырат.

Жол менен чыгаруучу дал келгенден кийин, кийинки бузулууну маңызы боюнча караңыз. Permission denied, сырсөз сүйлөмүн талап кылган кол тамга ачкычы жана жок чыгаруу жазуусу — үч башка бузулуу, жана алардын бирөө гана жаңы оңдогон каталогуңузга тиешелүү.

Жол катасын жашыруу үчүн ачкычты шифрлөөнү эч качан алып салбаңыз жана каталог уруксаттарын кеңейтпеңиз. Катаны оңдоо арзан; калыбына келтирүү андай эмес.