Easy-RSA sako, kad PKI trūksta? Jis ieško kitur

Komanda sustoja, kai trūksta ca.crt arba index.txt, nors CA jau mėnesius išduoda sertifikatus. Pačioje įstaigoje niekas nepasikeitė; komanda tiesiog pažiūrėjo kitur. Easy-RSA 3 nustato PKI katalogą iš parinkties, aplinkos kintamojo, vars failo ir įtaisyto numatytojo dydžio, ir bet kuris iš jų gali rodyti toli nuo diegimo įstaigos. Prieš ką nors kurdami patikrinkite, kuris laimėjo.

Klaida įvardija failą, o ne katalogą

Diegimo katalogas ir išdavėjo katalogas yra dvi skirtingos vietos. Radimas easyrsa kompiuteryje įrodo tik tai, kad įrankis įdiegtas, o ne kad jis rado įstaigą, kuria pasitiki jūsų VPN.

Štai kodėl paketo perinstaliavimas arba init žingsnio pakartojimas atrodo produktyvus ir nieko nekeičia.

Pirmiausia patikrinkite selektorių

Easy-RSA 3 selektorius yra EASYRSA_PKI arba atitinkama --pki-dir parinktis. Nurodykite absoliutų kelią, pavyzdžiui --pki-dir=/srv/pki/office, ir atsakymas nustos priklausyti nuo to, kur atsitiktinai stovėjote. Šis vienas įprotis pašalina visą šios klaidos klasę, ypač scenarijams, paleidžiamiems iš cron arba iš CI checkout.

Pirmiausia patvirtinkite kartą, nes Easy-RSA 2 įprotis su vars failu ir build-key yra kitas modelis nei tas, kurio tikisi Easy-RSA 3. easyrsa --version išspausdina kartą prieš darydamas ką nors kita, ir ./easyrsa --help išvardija subkomandas: tikslas build-key reiškia 2.x, o build-client-full reiškia 3.x. Seno KEY_DIR kelio perkėlimas į 3.x kvietimą todėl, kad katalogo pavadinimas atrodo pažįstamas, sukelia būtent šią klaidą.

Jei versijos eilutė ir komandos sintaksė nesutampa, sustokite ir perskaitykite įdiegtos laidos dokumentaciją.

Pirmumas paaiškina pralaimėjusį vars failą

Dokumentuotas pirmumas yra komandų eilutės parinktis, tada aplinka, tada vars failas, tada įtaisytas numatytasis. Todėl teisinga reikšmė vars pralaimi paveldėtam aplinkos kintamajam, ir tai tylioji šio gedimo versija. Tikrinkite numatytus kintamuosius ir failo pasirinkimą, o ne išpilkite visą aplinką į bilietą. Skirtumas tarp jų paprastai yra paslaptis.

Eikite grandine iš eilės ir pažymėkite, kuris šaltinis pateikė kelią, kurį naudojo komanda. Kai tai žinosite, pataisa yra vėliavėlė arba export, o ne nauja sertifikavimo įstaiga.

Easy-RSA konfigūracijos žinynas apibrėžia selektorių ir pirmumą, ir tai yra citata, kurią reikia įdėti į bilietą.

Patvirtinkite išdavėją vieša medžiaga

Įprasto failinio išdavėjo atveju perskaitykite ca.crt ir sulyginkite jo pirštų atspaudą su išdavėjo įrašu, kurį patvirtinote. Sutampantis subjekto pavadinimas nėra tapatybės įrodymas, ir katalogas pavadinimu production taip pat ne. Tik pirštų atspaudas susieja rastą failą su įstaiga, kuria jūsų partneriams buvo liepta pasitikėti.

Pakanka tik skaitymo patikros: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Tada nustatykite katalogo vaidmenį. Užklausų katalogas, kurį naudoja klientas, nėra išdavėjo duomenų bazė, o neprisijungus laikomas parašo raktas neturi ką veikti kiekviename VPN hoste. Trūkstamas ca.key šioje schemoje yra dizaino savybė, o ne leidimas išgalvoti pakaitinę įstaigą.

Jei būsena tikrai dingo

Kartais kelias teisingas, o būsenos tikrai nėra. Tuščias index.txt ir iš naujo paleistas serijos skaitiklis duoda PKI, kuri atrodo sveika ir negali nieko įrodyti apie sertifikatus, kurių niekada nematė: atnaujinimai nepanaikins senųjų, o nauji numeriai susidurs su istorija. Verčiau atkurkite iš patvirtintos CA atsarginės kopijos, nes tuščios PKI inicijavimas kitur tik perkelia klaidą ir palieka antrą, nesusijusią įstaigą.

Kai kelias ir išdavėjas sutampa, kitą gedimą vertinkite iš esmės. Permission denied, slaptafrazės reikalaujantis parašo raktas ir trūkstamas išdavimo įrašas yra trys skirtingi gedimai, ir tik vienas iš jų susijęs su katalogu, kurį ką tik pataisėte.

Niekada nenuimkite raktų šifravimo ir neplėskite katalogo teisių, kad užmaskuotumėte kelio klaidą. Klaidą pataisyti pigu; atkurti ne.