Easy-RSA kata PKI tiada? Ia melihat di tempat lain

Perintah berhenti kerana ca.crt tiada atau index.txt tiada, sedangkan CA telah mengeluarkan sijil selama berbulan-bulan. Tiada apa yang berubah pada pihak berkuasa; perintah itu hanya melihat di tempat lain. Easy-RSA 3 menentukan direktori PKI daripada pilihan, pemboleh ubah persekitaran, fail vars dan nilai lalai terbina dalam, dan mana-mana daripadanya boleh menunjuk jauh dari pihak berkuasa penggunaan. Semak mana yang menang sebelum anda mencipta apa-apa.

Ralat itu menamakan fail, bukan direktori

Direktori pemasangan dan direktori pengeluar ialah dua tempat berbeza. Menemui easyrsa pada mesin hanya membuktikan alat itu dipasang, bukan bahawa ia menemui pihak berkuasa yang dipercayai VPN anda.

Sebab itulah memasang semula pakej atau menjalankan semula langkah init terasa produktif dan tidak mengubah apa-apa.

Semak pemilih sebelum apa-apa lagi

Dalam Easy-RSA 3 pemilihnya ialah EASYRSA_PKI atau pilihan yang sepadan --pki-dir. Berikan laluan mutlak seperti --pki-dir=/srv/pki/office, dan jawapannya berhenti bergantung pada tempat anda kebetulan berdiri. Satu tabiat itu menghapuskan seluruh kelas pepijat ini, terutamanya untuk skrip yang dijalankan dari cron atau dari checkout CI.

Sahkan generasi dahulu, kerana tabiat Easy-RSA 2 dengan fail vars tambah build-key ialah model berbeza daripada yang dijangka Easy-RSA 3. easyrsa --version mencetak generasi sebelum melakukan apa-apa lagi, dan ./easyrsa --help menyenaraikan subperintah: sasaran build-key bermaksud 2.x, manakala build-client-full bermaksud 3.x. Membawa laluan KEY_DIR lama ke panggilan 3.x kerana nama direktori kelihatan biasa menghasilkan tepat ralat ini.

Jika rentetan versi dan sintaks perintah tidak sepadan, berhenti dan baca dokumentasi keluaran yang dipasang.

Keutamaan menjelaskan fail vars yang kalah

Keutamaan yang didokumenkan ialah pilihan baris perintah, kemudian persekitaran, kemudian fail vars, kemudian nilai lalai terbina dalam. Jadi nilai yang betul dalam vars kalah kepada pemboleh ubah persekitaran warisan, dan inilah versi senyap kegagalan ini. Periksa pemboleh ubah yang dimaksudkan dan pemilihan fail dan bukan membuang seluruh persekitaran ke dalam tiket. Perbezaan antara kedua-duanya biasanya satu rahsia.

Telusuri rantaian itu mengikut urutan dan catat sumber mana yang membekalkan laluan yang digunakan oleh perintah itu. Setelah anda tahu perkara itu, pembaikannya ialah bendera atau export, bukan pihak berkuasa sijil baharu.

Rujukan konfigurasi Easy-RSA mentakrifkan pemilih dan keutamaan, dan itulah petikan yang perlu dimasukkan ke dalam tiket.

Sahkan pengeluar dengan bahan awam

Dengan pengeluar berasaskan fail yang biasa, baca ca.crt dan padankan cap jarinya dengan rekod pengeluar yang anda luluskan. Nama subjek yang sepadan bukan bukti identiti, dan direktori bernama production juga bukan. Hanya cap jari mengikat fail yang anda temui kepada pihak berkuasa yang diberitahu kepada rakan setara anda untuk dipercayai.

Pemeriksaan baca sahaja sudah memadai: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Kemudian tetapkan peranan direktori itu. Direktori permintaan yang digunakan oleh klien bukan pangkalan data pengeluar, dan kunci tandatangan yang disimpan di luar talian tiada urusan pada setiap hos VPN. Ketiadaan ca.key ialah sifat reka bentuk dalam susunan itu, bukan kebenaran untuk mencipta pihak berkuasa pengganti.

Jika keadaan itu benar-benar hilang

Kadang-kadang laluannya betul dan keadaannya memang tiada. Fail index.txt kosong dan pembilang siri yang dimulakan semula memberi anda PKI yang kelihatan sihat dan tidak dapat membuktikan apa-apa tentang sijil yang tidak pernah dilihatnya: pembaharuan tidak akan membatalkan yang lama, dan nombor baharu akan berlanggar dengan sejarah. Pulihkan daripada sandaran CA yang diluluskan, kerana memulakan PKI kosong di tempat lain hanya memindahkan ralat dan meninggalkan pihak berkuasa kedua yang tidak berkaitan.

Setelah laluan dan pengeluar bersetuju, tangani kegagalan seterusnya mengikut hakikatnya. Permission denied, kunci tandatangan yang memerlukan frasa laluannya, dan rekod pengeluaran yang tiada ialah tiga kerosakan berbeza, dan hanya satu daripadanya berkaitan direktori yang baru anda betulkan.

Jangan sekali-kali membuang penyulitan kunci atau meluaskan kebenaran direktori untuk menutup kesilapan laluan. Kesilapan itu murah dibaiki; pemulihannya tidak.