Easy-RSA म्हणत आहे PKI नाही? ते दुसरीकडे पाहत आहे

ca.crt किंवा index.txt गहाळ असल्यामुळे आदेश थांबतो, पण CA महिन्यांपासून प्रमाणपत्रे जारी करत आहे. अधिकारात काहीच बदलले नाही; आदेशाने फक्त दुसरीकडे पाहिले. Easy-RSA 3 पर्याय, पर्यावरण चल, vars फाइल आणि अंगभूत डीफॉल्टवरून PKI डिरेक्टरी ठरवते, आणि यापैकी कोणतेही तैनातीच्या अधिकारापासून दूर दाखवू शकते. काहीही तयार करण्यापूर्वी कोणते जिंकले ते तपासा.

त्रुटी डिरेक्टरी नाही, फाइलचे नाव सांगते

इन्स्टॉलेशन डिरेक्टरी आणि जारीकर्ता डिरेक्टरी या दोन वेगळ्या जागा आहेत. मशीनवर easyrsa सापडणे हे फक्त साधन इन्स्टॉल आहे हे सिद्ध करते, तुमचा VPN ज्या अधिकारावर विश्वास ठेवतो तो सापडला हे नाही.

म्हणूनच पॅकेज पुन्हा इन्स्टॉल करणे किंवा init टप्पा पुन्हा चालवणे उपयुक्त वाटते आणि काहीच बदलत नाही.

बाकी सर्वांपेक्षा आधी निवडक तपासा

Easy-RSA 3 मध्ये निवडक आहे EASYRSA_PKI किंवा त्याच्याशी जुळणारा --pki-dir पर्याय. उदाहरणार्थ पूर्ण मार्ग द्या --pki-dir=/srv/pki/office, आणि उत्तर तुम्ही योगायोगाने कुठे उभे होते यावर अवलंबून राहणार नाही. ही एक सवय या बगचा संपूर्ण वर्ग दूर करते, विशेषतः cron किंवा CI चेकआउटमधून चालवल्या जाणाऱ्या स्क्रिप्टसाठी.

आधी पिढीची पुष्टी करा, कारण Easy-RSA 2 ची vars फाइल आणि build-key सवय Easy-RSA 3 अपेक्षित असलेल्या मॉडेलपेक्षा वेगळी आहे. easyrsa --version इतर काहीही करण्यापूर्वी पिढी छापते, आणि ./easyrsa --help उपआदेशांची यादी करते: लक्ष्य build-key म्हणजे 2.x, तर build-client-full म्हणजे 3.x. जुना KEY_DIR मार्ग डिरेक्टरीचे नाव परिचित वाटते म्हणून 3.x कॉलमध्ये नेणे नेमकी हीच त्रुटी निर्माण करते.

जर आवृत्ती स्ट्रिंग आणि आदेशाचा सिंटॅक्स जुळत नसेल, तर थांबा आणि इन्स्टॉल केलेल्या आवृत्तीचे स्वतःचे दस्तऐवज वाचा.

प्राधान्य हरलेल्या vars फाइलचे स्पष्टीकरण देते

नोंदवलेले प्राधान्य म्हणजे आदेश-ओळ पर्याय, नंतर पर्यावरण, नंतर vars फाइल, नंतर अंगभूत डीफॉल्ट. म्हणून vars मधील योग्य मूल्य वारशाने मिळालेल्या पर्यावरण चलकडे हरते, आणि ही या अपयशाची शांत आवृत्ती आहे. संपूर्ण पर्यावरण तिकिटात ओतण्याऐवजी इच्छित चल आणि फाइल निवड तपासा. दोघांमधील फरक सहसा एक रहस्य असतो.

साखळी क्रमाने चाला आणि आदेशाने वापरलेला मार्ग कोणत्या स्रोताने दिला ते नोंदवा. ते कळल्यावर, दुरुस्ती ही नवीन प्रमाणपत्र अधिकार नसून फ्लॅग किंवा export असते.

Easy-RSA कॉन्फिगरेशन संदर्भ निवडक आणि प्राधान्य परिभाषित करतो, आणि तिकिटात ठेवायचा उद्धार तोच आहे.

सार्वजनिक सामग्रीने जारीकर्त्याची पुष्टी करा

नेहमीच्या फाइल-आधारित जारीकर्त्यासह, वाचा ca.crt आणि त्याची फिंगरप्रिंट तुम्ही मंजूर केलेल्या जारीकर्ता नोंदीशी जुळवा. जुळणारे विषय नाव ओळखीचा पुरावा नाही, आणि production नावाची डिरेक्टरीही नाही. तुम्ही सापडलेल्या फाइलला तुमच्या सहकाऱ्यांना विश्वास ठेवायला सांगितलेल्या अधिकाराशी जोडते ती फक्त फिंगरप्रिंट.

फक्त-वाचन तपासणी पुरेशी आहे: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

मग डिरेक्टरीची भूमिका ठरवा. क्लायंट वापरतो ती विनंती डिरेक्टरी जारीकर्ता डेटाबेस नाही, आणि ऑफलाइन ठेवलेल्या स्वाक्षरी कीचे प्रत्येक VPN होस्टवर काही काम नाही. गहाळ ca.key त्या मांडणीत एक डिझाइन गुणधर्म आहे, पर्यायी अधिकार शोधून काढण्याची परवानगी नाही.

जर स्थिती खरोखर गेली असेल

कधीकधी मार्ग बरोबर असतो आणि स्थिती खरोखर तिथे नसते. रिकामी index.txt आणि पुन्हा सुरू केलेला क्रमिक काउंटर तुम्हाला अशी PKI देतात जी निरोगी दिसते आणि कधीही न पाहिलेल्या प्रमाणपत्रांबद्दल काहीही सिद्ध करू शकत नाही: नूतनीकरणे जुनी रद्द करणार नाहीत, आणि नवीन क्रमांक इतिहासाशी टकरीतील. त्याऐवजी CA च्या मंजूर बॅकअपमधून पुनर्संचयित करा, कारण दुसरीकडे रिकामी PKI सुरू करणे फक्त त्रुटी हलवते आणि मागे दुसरा, असंबंधित अधिकार सोडते.

मार्ग आणि जारीकर्ता जुळल्यावर, पुढील अपयश त्याच्या गुणवत्तेवर हाताळा. Permission denied, पासफ्रेज आवश्यक असलेली स्वाक्षरी की, आणि गहाळ जारी नोंद या तीन वेगळ्या बिघाड्या आहेत, आणि त्यातील फक्त एक तुम्ही आत्ता दुरुस्त केलेल्या डिरेक्टरीबद्दल आहे.

मार्गाची चूक झाकण्यासाठी कधीही की एन्क्रिप्शन काढू नका किंवा डिरेक्टरी परवानग्या वाढवू नका. चूक दुरुस्त करणे स्वस्त आहे; दुरुस्ती नाही.