Easy-RSA saka, ka PKI trūkst? Tas skatās citur

Komanda apstājas trūkstoša ca.crt vai trūkstoša index.txt dēļ, lai gan CA jau mēnešus izdod sertifikātus. Pašā iestādē nekas nav mainījies; komanda vienkārši paskatījās citur. Easy-RSA 3 nosaka PKI direktoriju no opcijas, vides mainīgā, vars faila un iebūvētās noklusējuma vērtības, un jebkurš no tiem var norādīt prom no izvietojuma iestādes. Pirms kaut ko veidot, pārbaudiet, kurš uzvarēja.

Kļūda nosauc failu, nevis direktoriju

Instalācijas direktorijs un izdevēja direktorijs ir divas dažādas vietas. Atrast easyrsa mašīnā pierāda tikai to, ka rīks ir instalēts, nevis to, ka tas ir atradis iestādi, kurai uzticas jūsu VPN.

Tāpēc pakotnes pārinstalēšana vai init soļa atkārtošana šķiet produktīva un neko nemaina.

Vispirms pārbaudiet selektoru

Easy-RSA 3 selektors ir EASYRSA_PKI vai atbilstošā --pki-dir opcija. Norādiet absolūtu ceļu, piemēram --pki-dir=/srv/pki/office, un atbilde vairs nav atkarīga no tā, kur jūs nejauši stāvējāt. Šis viens ieradums novērš veselu šīs kļūdas klasi, īpaši skriptiem, kas palaisti no cron vai CI checkout.

Vispirms apstipriniet paaudzi, jo Easy-RSA 2 ieradums ar vars failu un build-key ir cits modelis nekā tas, ko sagaida Easy-RSA 3. easyrsa --version izdrukā paaudzi, pirms dara ko citu, un ./easyrsa --help uzskaita apakškomandas: mērķis build-key nozīmē 2.x, bet build-client-full nozīmē 3.x. Vecā KEY_DIR ceļa pārnese uz 3.x izsaukumu tāpēc, ka direktorija nosaukums šķiet pazīstams, rada tieši šo kļūdu.

Ja versijas virkne un komandas sintakse nesakrīt, apstājieties un izlasiet instalētā laidiena dokumentāciju.

Prioritāte izskaidro zaudēto vars failu

Dokumentētā prioritāte ir komandrindas opcija, tad vide, tad vars fails, tad iebūvētā noklusējuma vērtība. Tāpēc pareiza vērtība vars zaudē mantotam vides mainīgajam, un šī ir šīs kļūmes klusā versija. Pārbaudiet paredzētos mainīgos un faila izvēli, nevis izlejiet visu vidi biļetē. Atšķirība starp abiem parasti ir noslēpums.

Izejiet ķēdi secīgi un atzīmējiet, kurš avots nodeva ceļu, ko komanda izmantoja. Kad to zināt, labojums ir karodziņš vai export, nevis jauna sertifikācijas iestāde.

Easy-RSA konfigurācijas uzziņa definē selektoru un prioritāti, un tas ir citāts, kas jāliek biļetē.

Apstipriniet izdevēju ar publisku materiālu

Parastā failu balstītā izdevēja gadījumā izlasiet ca.crt un salīdziniet tā pirksta nospiedumu ar izdevēja ierakstu, ko apstiprinājāt. Atbilstošs subjekta nosaukums nav identitātes pierādījums, un direktorijs ar nosaukumu production arī nav. Tikai pirksta nospiedums saista atrasto failu ar iestādi, kurai jūsu kolēģiem tika teikts uzticēties.

Pietiek ar tikai lasīšanas pārbaudi: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Pēc tam nosakiet direktorija lomu. Pieprasījumu direktorijs, ko izmanto klients, nav izdevēja datubāze, un bezsaistē glabātai parakstīšanas atslēgai nav ko darīt katrā VPN resursdatorā. Trūkstošs ca.key šajā izkārtojumā ir dizaina īpašība, nevis atļauja izdomāt aizvietotāju iestādi.

Ja stāvoklis tiešām ir zudis

Dažkārt ceļš ir pareizs un stāvokļa tiešām nav. Tukšs index.txt un restartēts sērijas skaitītājs dod PKI, kas izskatās vesela un neko nevar pierādīt par sertifikātiem, kurus tā nekad nav redzējusi: atjaunojumi neatcels vecos, un jaunie numuri sadursies ar vēsturi. Tā vietā atjaunojiet no CA apstiprinātās rezerves kopijas, jo tukšas PKI inicializēšana citur tikai pārvieto kļūdu un atstāj otru, nesaistītu iestādi.

Kad ceļš un izdevējs sakrīt, izskatiet nākamo kļūmi pēc būtības. Permission denied, paroles frāzi pieprasoša parakstīšanas atslēga un trūkstošs izdošanas ieraksts ir trīs dažādi defekti, un tikai viens no tiem attiecas uz direktoriju, ko tikko izlabojāt.

Nekad nenoņemiet atslēgu šifrēšanu un nepaplašiniet direktoriju atļaujas, lai aizsegtu ceļa kļūdu. Kļūdu ir lēti labot; atjaunošanu ne.