Easy-RSA seet d'PKI feelt? Et kuckt soss anzwousch

D'Kommando stoppt mat engem feelenden ca.crt oder engem feelenden index.txt, obwuel d'CA zënter Méint Zertifikater ausgëtt. Um Autoritéit huet sech näischt geännert; d'Kommando huet just soss anzwousch gekuckt. Easy-RSA 3 bestëmmt en PKI-Dossier aus enger Optioun, enger Ëmweltvariant, enger vars-Datei an engem agebaute Standardwäert, an all dës kënnen ewech vum Autoritéit vun der Installatioun weisen. Préift wien gewonnen huet, ier Dir eppes uleet.

De Feeler nennt eng Datei, keen Dossier

Den Installatiounsdossier an den Dossier vum Aussteller sinn zwee verschidde Plazen. Fannen easyrsa um Computer beweist just, datt d'Instrument installéiert ass, net datt et den Autoritéit fonnt huet, deem Äre VPN vertraut.

Dofir fillt sech d'Reinstallatioun vum Pak oder de Widderhuelen vum init-Schrëtt produktiv un, an et ännert näischt.

Préift de Selektor virun allem aneren

An Easy-RSA 3 ass de Selektor EASYRSA_PKI oder déi entspriechend --pki-dir Optioun. Gitt en absolute Wee wéi --pki-dir=/srv/pki/office, an d'Äntwert hänkt net méi dovun of, wou Dir just stoung. Dee een Tic entfernt eng ganz Klass vun dësem Feeler, besonnesch fir Skripten, déi aus cron oder aus engem CI-Checkout lafen.

Bestätegt fir d'éischt d'Generatioun, well d'Gewunnecht vun Easy-RSA 2 mat enger vars-Datei plus build-key en anert Modell ass wéi dat, wat Easy-RSA 3 erwaart. easyrsa --version dréckt d'Generatioun aus, ier et eppes anescht mécht, an ./easyrsa --help lëscht d'Ënnerkommandos op: en Zil build-key bedeit 2.x, während build-client-full bedeit 3.x. En ale KEY_DIR-Wee an en 3.x-Opruff ze huelen, well den Dossiersnumm bekannt ausgesäit, produzéiert genau dëse Feeler.

Wann de Versiounsstring an d'Syntax vun der Kommando net iwwerenee stëmmen, stoppt a liest d'Dokumentatioun vun der installéierter Versioun.

D'Prioritéit erkläert eng vars-Datei, déi verluer huet

D'dokumentéiert Prioritéit ass Kommandozeilenoptioun, dann Ëmwelt, dann vars-Datei, dann agebaute Standard. Dofir verléiert e korrekte Wäert an vars géint eng geierfte Ëmweltvariant, an dat ass déi stëll Versioun vun dësem Ausfall. Ënnersicht déi virgesinn Variabelen an d'Dateiauswiel, amplaz déi ganz Ëmwelt an en Ticket ze schëdden. Den Ënnerscheed tëscht deenen zwee ass meeschtens e Geheimnis.

Gitt d'Kette der Rei no duerch a notéiert, wéi eng Quell de Wee geliwwert huet, deen d'Kommando benotzt huet. Wann Dir dat wësst, ass d'Korrektur e Fändel oder en Export, keen neien Zertifizéierungsautoritéit.

Den Easy-RSA-Konfiguratiounsreferenz definéiert de Selektor an d'Prioritéit, an dat ass d'Zitatioun, déi an den Ticket gehéiert.

Bestätegt den Aussteller mat ëffentlechem Material

Beim üblechen dateibaséierten Aussteller liest ca.crt a vergläicht säi Fangerofdrock mat dem Ausstellerrekord, deen Dir guttgeheescht hutt. En iwwerenee stëmmende Sujetnumm ass keng Identitéitsbeweis, an en Dossier mam Numm production och net. Nëmmen de Fangerofdrock verbënnt d'Datei, déi Dir fonnt hutt, mam Autoritéit, deem Äre Peers gesot gouf ze vertrauen.

Eng Kontroll nëmme fir ze liesen ass genuch: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Bestëmmt dann d'Roll vum Dossier. En Ufro-Dossier, deen e Client benotzt, ass keng Ausstellerdatebank, an en offline gehalene Signaturschlëssel huet näischt op all VPN-Host ze sichen. En feelenden ca.key ass eng Designeegenschaft an deem Layout, keng Erlaabnis, en Ersatzautoritéit ze erfinden.

Wann den Zoustand wierklech fort ass

Heiansdo ass de Wee richteg an den Zoustand wierklech net do. Eng eidel index.txt an en nei gestart Serienzähler ginn Iech eng PKI, déi gesond ausgesäit an näischt iwwer d'Zertifikater beweisen kann, déi se ni gesinn huet: Erneierungen annuléieren déi al net, an déi nei Nummeren kollidéieren mat der Geschicht. Stellt amplaz aus dem guttgeheeschte Backup vun der CA restauréieren, well eng eidel PKI soss anzwousch initialiséieren just de Feeler verréckelt an en zweeten, onverbonnenen Autoritéit hannerléisst.

Wann de Wee an den Aussteller iwwerenee stëmmen, behandelt de nächsten Ausfall no senger Substanz. Permission denied, e Signaturschlëssel, deen seng Passphrase brauch, an en feelende Ausstellungsrekord sinn dräi verschidde Feeler, an nëmmen ee geet ëm den Dossier, deen Dir just korrigéiert hutt.

Huelt ni d'Schlësselverschlësselung ewech a vergréissert keng Dossiersrechter, fir e Weefehler ze iwwerdecken. De Feeler ass bëlleg ze korrigéieren; d'Reparatur net.