Грешка во регистарот на Easy-RSA во Windows: проверете го приказот на регистарот

Batch-датотеката запира со пораката „Системот не можеше да го најде наведениот клуч или вредност во регистарот“ и сите претпоставуваат дека сертификациското тело е расипано. Не е, или барем сѐ уште не: скриптата не успеа додека бараше софтвер, пред да побара од Easy-RSA да направи нешто со клуч. Тој редослед е важен, бидејќи значи дека поправката е проблем со пребарувањето, а PKI е само набљудувач. Читањето на линијата што не успеа е целата дијагноза и трае помалку време од било кое заобиколно решение.

Грешката се јавува пред да се допре CA

Старите Easy-RSA 2 batch-датотеки го лоцираат OpenSSL или инсталацијата на OpenVPN со прашање до регистарот, потоа поставуваат променливи врз основа на она што го најдат. Кога прашањето не враќа ништо, скриптата прекинува пред да се изврши било каква операција со сертификат.

Затоа пораката за клуч во регистарот е доказ за околината на скриптата, а не за директориумот на CA.

Два приказа на регистарот, една batch-датотека

32-битен процес и 64-битен процес можат да гледаат различни прикази на регистарот, а batch-датотека која претпоставува еден може да го пропушти записот што постои во другиот. Овие споредби само за читање ја покажуваат разликата за стариот клуч што го користат некои стари скрипти:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Референцата за reg query ги документира избирачите на приказ. Извршете ги двете во истиот контекст како скриптата што не успеа, бидејќи приказот зависи од тоа како се стартува процесот, како и од знаменцата. Ако записот постои само во еден приказ, споредете ја патеката кон која покажува со инсталираните алатки пред да смените нешто. Клуч што постои но покажува на стар директориум за инсталација е друга дефект од клуч што недостига.

Ако ниту еден од двата приказа го нема записот, инсталаторот никогаш не го создал, и рачното правење вредност нема да ги пушти алатките во работа.

Не додавајте /reg:64 безусловно

Примамливата поправка е да го додадете 64-битниот избирач на секое прашање и да продолжите. Кај некои инсталации тоа е точно, а кај други ја праќа скриптата во приказ што навистина нема ништо.

Сменете го пребарувањето само откако ќе видите кој приказ ја содржи очекуваната вредност.

Откривањето не е поправка на PKI

Оваа грешка не докажува дека CA-сертификатот, клучот за потпис, датотеката со сериски броеви или базата за отповикување се оштетени. Извршување на clean-all копиран од стар водич би уништило сосема друго множество објекти, а пребарувањето би останало расипано. Држете ги двете активности одделно во главата и во тикетот. Ако подоцна не успее операција со сертификат, проценете ја според нејзините сопствени докази.

Направете резервна копија од директориумот на CA пред секој експеримент, дури и оној за кој сте сигурни дека е само за читање.

Преминот на Easy-RSA 3 е миграција

Одржуваната инсталација треба да го користи сопствениот стартер и моделот на конфигурација на тековниот пакет, и Easy-RSA 3 не е истиот работен тек со batch-датотеки како Easy-RSA 2. Неговиот брз почеток за нов PKI не е миграциско упатство за постоечко тело. Пред да ги смените верзиите, зачувајте го материјалот на CA заедно со записите за издавање и отповикување и следете ги упатствата за надградба на таа верзија. Иницијализирање на замена CA во авторитативниот директориум за да исчезне грешка во откривањето алатки е најлошата опција на списокот.

Промената на верзија е проект; грешката во регистарот е едно попладне.

Споредбата што навистина го решава

Запишете четири работи и споредете ги директно:

• Која скрипта се изврши и која линија не успеа.
• Кој приказ на регистарот го праша таа линија.
• Која патека до извршна датотека ја очекуваше скриптата.
• Која инсталација навистина постои на машината.

Кога овие четири ќе се совпаднат, грешката исчезнува, и секој преостанат проблем со сертификат може да се чита според неговите сопствени докази наместо да се обвинува CA.