Easy-RSA PKI байхгүй гэж хэлж байна уу? Тэр өөр газар харж байна

ca.crt эсвэл index.txt байхгүйн улмаас команд зогсдог боловч CA хэдэн сарын турш гэрчилгээ олгож байна. Байгууллагад өөрөө юу ч өөрчлөгдөөгүй; команд зүгээр л өөр газар харсан. Easy-RSA 3 нь PKI хавтсыг сонголт, орчны хувьсагч, vars файл болон суулгасан анхны утгаас тодорхойлдог бөгөөд эдгээрийн аль нь ч байршуулалтын байгууллагаас хол зааж болно. Ямар нэгэн зүйл үүсгэхийн өмнө аль нь ялсныг шалгана уу.

Алдаа нь хавтас биш, файлыг нэрлэдэг

Суулгах хавтас болон олгогчийн хавтас нь хоёр өөр газар. Машинд easyrsa олдох нь зөвхөн хэрэгсэл суулгагдсаныг батална, таны VPN итгэдэг байгууллагыг олсон гэсэн үг биш.

Тиймээс багцыг дахин суулгах эсвэл init алхмыг дахин ажиллуулах нь үр дүнтэй мэт санагдаж, юу ч өөрчлөхгүй.

Бусад бүхнээс өмнө сонгогчийг шалгана уу

Easy-RSA 3-д сонгогч нь EASYRSA_PKI эсвэл тохирох --pki-dir сонголт юм. Жишээ нь үнэмлэхүй зам өгнө үү --pki-dir=/srv/pki/office, тэгвэл хариулт нь таны санамсаргүй зогсож байсан газраас хамаарахаа болино. Энэ нэг дадал энэ алдааны бүхэл бүтэн ангийг арилгана, ялангуяа cron эсвэл CI checkout-оос ажиллуулсан скриптүүдэд.

Эхлээд үеийг баталгаажуулна уу, учир нь Easy-RSA 2-ын vars файл болон build-key дадал нь Easy-RSA 3-ын хүлээж буй загвараас өөр юм. easyrsa --version бусад зүйл хийхээс өмнө үеийг хэвлэдэг бөгөөд ./easyrsa --help дэд командуудыг жагсаана: зорилт build-key нь 2.x гэсэн үг, харин build-client-full нь 3.x гэсэн үг. Хуучин KEY_DIR замыг хавтсын нэр танил санагдсан тул 3.x дуудалтад оруулах нь яг энэ алдааг үүсгэдэг.

Хэрэв хувилбарын мөр болон командын синтакс тохирохгүй бол зогсоод, суулгасан хувилбарын өөрийн баримт бичгийг уншина уу.

Давуу эрх нь ялагдсан vars файлыг тайлбарлана

Баримтжуулсан давуу эрх нь командын мөрийн сонголт, дараа нь орчин, дараа нь vars файл, дараа нь суулгасан анхны утга юм. Тиймээс vars доторх зөв утга нь өвлөгдсөн орчны хувьсагчид ялагдана, энэ нь энэ бүтэлгүйтлийн нам гүм хувилбар юм. Бүх орчныг тасалбар руу асгахын оронд зорьсон хувьсагчид болон файлын сонголтыг шалгана уу. Хоёрын ялгаа нь ихэвчлэн нууц юм.

Гинжийг дарааллаар нь туулж, командын ашигласан замыг аль эх сурвалж өгснийг тэмдэглэ. Үүнийг мэдсэний дараа засвар нь шинэ гэрчилгээний байгууллага биш, туга эсвэл export юм.

Easy-RSA-ийн тохиргооны лавлагаа сонгогч болон давуу эрхийг тодорхойлдог бөгөөд тасалбарт оруулах ишлэл нь энэ юм.

Олгогчийг нийтийн материалаар баталгаажуулна уу

Энгийн файлд суурилсан олгогчийн хувьд ca.crt ыг уншиж, түүний хурууны хээг таны зөвшөөрсөн олгогчийн бүртгэлтэй тулгана уу. Тохирох субъектийн нэр нь иргэний үнэмлэхний нотолгоо биш, production нэртэй хавтас ч мөн биш. Олдсон файлыг таны хамт олонд итгэхийг хэлсэн байгууллагатай холбодог нь зөвхөн хурууны хээ юм.

Зөвхөн унших шалгалт хангалттай: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Дараа нь хавтсын үүргийг тогтооно уу. Клиент ашигладаг хүсэлтийн хавтас нь олгогчийн мэдээллийн сан биш, офлайнаар хадгалсан гарын үсгийн түлхүүр нь VPN хост бүр дээр хийх ажилгүй. Байхгүй ca.key тэр зохион байгуулалтад дизайны шинж чанар бөгөөд орлуулах байгууллага зохиох зөвшөөрөл биш.

Хэрэв төлөв үнэхээр алга болсон бол

Заримдаа зам зөв боловч төлөв үнэхээр байхгүй. Хоосон index.txt болон дахин эхлүүлсэн серийн тоолуур нь эрүүл харагдах боловч хэзээ ч хараагүй гэрчилгээний талаар юу ч баталж чадахгүй PKI-г өгнө: шинэчлэлтүүд хуучин гэрчилгээг хүчингүй болгохгүй, шинэ дугаарууд түүхтэй мөргөлдөнө. Оронд нь CA-ийн зөвшөөрсөн нөөц хуулбараас сэргээгээрэй, учир нь өөр газар хоосон PKI эхлүүлэх нь алдааг зөвхөн зөөж, ард нь хоёр дахь, холбоогүй байгууллага үлдээдэг.

Зам болон олгогч тохирсны дараа дараагийн бүтэлгүйтлийг мөн чанараар нь авч үзнэ үү. Permission denied, нууц үг хэллэг шаардсан гарын үсгийн түлхүүр, байхгүй олголтын бүртгэл гэдэг нь гурван өөр гэмтэл бөгөөд тэдгээрийн зөвхөн нэг нь таны саяхан зассан хавтастай холбоотой.

Замын алдааг далдлахын тулд түлхүүрийн шифрлэлтийг хэзээ ч бүү авч хасаж, хавтсын эрхийг бүү өргөжүүл. Алдааг засах нь хямд; сэргээх нь тийм биш.