„Easy-RSA“ registro klaida „Windows“: patikrinkite registro rodinį

Paketinis failas sustoja su pranešimu „Sistema nerado nurodyto registro rakto arba reikšmės“, ir visi mano, kad sertifikatų institucija sugedo. Ji ne, arba bent jau kol kas ne: scenarijus nepavyko ieškant programinės įrangos, prieš paprašant „Easy-RSA“ ką nors daryti su raktu. Ši tvarka svarbi, nes reiškia, kad taisymas yra paieškos problema, o PKI tik stebėtojas. Nepavykusios eilutės perskaitymas yra visa diagnostika, ir tai užima mažiau laiko nei bet koks apėjimas.

Klaida atsiranda prieš paliečiant CA

Seni „Easy-RSA 2“ paketiniai failai randa „OpenSSL“ arba „OpenVPN“ diegimą užklausdami registro, tada nustato kintamuosius pagal tai, ką randa. Kai užklausa nieko negrąžina, scenarijus nutraukiamas prieš bet kokią sertifikato operaciją.

Todėl pranešimas apie registro raktą yra scenarijaus aplinkos įrodymas, o ne CA katalogo.

Du registro rodiniai, vienas paketinis failas

32 bitų ir 64 bitų procesai gali matyti skirtingus registro rodinius, o paketinis failas, kuris numato vieną, gali praleisti įrašą, esantį kitame. Šie tik skaitymui skirti palyginimai rodo skirtumą seno rakto, kurį naudoja kai kurie seni scenarijai, atžvilgiu:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

„Microsoft“ „reg query“ nuoroda dokumentuoja rodinio parinkiklius. Vykdykite abu toje pačioje aplinkoje kaip ir nepavykęs scenarijus, nes rodinys priklauso nuo to, kaip procesas paleidžiamas, ir nuo vėliavėlių. Jei įrašas yra tik viename rodinyje, prieš ką nors keisdami palyginkite jo nurodomą kelią su įdiegtais įrankiais. Raktas, kuris egzistuoja, bet nurodo seną diegimo katalogą, yra kita gedimo rūšis nei trūkstamas raktas.

Jei nė viename rodinyje nėra įrašo, diegėjas jo niekada nesukūrė, ir rankiniu būdu pagaminta reikšmė įrankių neįjungs.

Nepridėkite /reg:64 be sąlygų

Viliojantis pataisymas yra pridėti 64 bitų parinkiklį prie kiekvienos užklausos ir judėti toliau. Kai kuriuose diegimuose tai teisinga, o kituose tai nusiunčia scenarijų į rodinį, kuriame tikrai nieko nėra.

Keiskite paiešką tik pamatę, kuriame rodinyje yra laukiama reikšmė.

Aptikimas nėra PKI taisymas

Ši klaida neįrodo, kad CA sertifikatas, pasirašymo raktas, serijų failas ar atšaukimo duomenų bazė yra sugadinti. Paleidus senos mokymo priemonės kopijuotą clean-all, būtų sunaikintas visiškai kitas objektų rinkinys, o paieška liktų sugedusi. Laikykite abu veiksmus atskirai galvoje ir biliete. Jei vėliau sertifikato operacija nepavyksta, vertinkite ją pagal jos pačios įrodymus.

Prieš bet kokį eksperimentą padarykite CA katalogo atsarginę kopiją, net jei esate tikri, kad jis skirtas tik skaitymui.

Perėjimas prie „Easy-RSA 3“ yra migracija

Prižiūrimas diegimas turėtų naudoti dabartinio paketo savo paleidiklį ir konfigūracijos modelį, ir „Easy-RSA 3“ nėra tas pats paketinių failų darbo srautas kaip „Easy-RSA 2“. Jo greitasis vadovas naujam PKI nėra migracijos instrukcija esamai institucijai. Prieš keisdami versijas, išsaugokite CA medžiagą bei išdavimo ir atšaukimo įrašus ir vadovaukitės tos versijos atnaujinimo nurodymais. Pakeičiančios CA inicijavimas autoritetiniame kataloge, kad įrankių aptikimo klaida išnyktų, yra blogiausias sąrašo variantas.

Versijos keitimas yra projektas; registro klaida – viena popietė.

Palyginimas, kuris iš tikrųjų tai išsprendžia

Užsirašykite keturis dalykus ir palyginkite juos tiesiogiai:

• Kuris scenarijus vyko ir kuri eilutė nepavyko.
• Kurį registro rodinį užklausė ta eilutė.
• Kurio vykdomojo failo kelio scenarijus tikėjosi.
• Kuris diegimas iš tikrųjų yra kompiuteryje.

Kai šie keturi sutampa, klaida dingsta, o bet kuri likusi sertifikato problema gali būti skaitoma pagal jos pačius įrodymus, o ne kaltinant CA.