Easy-RSA jgħid li l-PKI neqsin? Qed iħares x'imkien ieħor

Il-kmand jieqaf b'ca.crt neqsin jew b'index.txt neqsin, filwaqt li s-CA ilha toħroġ ċertifikati għal xhur. Xejn ma nbidel fl-awtorità; il-kmand sempliċement ħares x'imkien ieħor. Easy-RSA 3 jiddetermina direttorju tal-PKI minn għażla, varjabbli tal-ambjent, fajl vars u valur prestabbilit integrat, u kwalunkwe minn dawn jista' jipponta 'l bogħod mill-awtorità tal-varar. Iċċekkja liema rebaħ qabel ma toħloq xi ħaġa.

L-iżball isemmi fajl, mhux direttorju

Id-direttorju tal-installazzjoni u d-direttorju tal-ħarrieġ huma żewġ postijiet differenti. Is-sejba ta'easyrsa fil-magna tipprova biss li l-għodda hija installata, mhux li sabet l-awtorità li l-VPN tiegħek jafda.

Huwa għalhekk li l-installazzjoni mill-ġdid tal-pakkett jew it-tħaddim mill-ġdid tal-pass init jaħseb li huwa produttiv u ma jbiddel xejn.

Iċċekkja s-selettur qabel kollox

F'Easy-RSA 3 is-selettur huwa EASYRSA_PKI jew l-għażla li taqbel --pki-dir. Agħti mogħdija assoluta bħal --pki-dir=/srv/pki/office, u t-tweġiba tieqaf tiddependi minn fejn kont bil-qiegħda. Din id-drawwa waħda tneħħi klassi sħiħa ta' dan il-bug, speċjalment għal skripts li jinħadmu minn cron jew minn checkout CI.

L-ewwel ikkonferma l-ġenerazzjoni, għax id-drawwa ta' Easy-RSA 2 b'fajl vars flimkien ma'build-key hija mudell differenti minn dak li jistenna Easy-RSA 3. easyrsa --version jistampa l-ġenerazzjoni qabel ma jagħmel xi ħaġa oħra, u ./easyrsa --help jelenka s-sottokmandi: mira build-key tfisser 2.x, filwaqt li build-client-full tfisser 3.x. It-trasport ta' mogħdija KEY_DIR qadima għal sejħa 3.x għax l-isem tad-direttorju jidher familjari jipproduċi eżattament dan l-iżball.

Jekk is-sekwenza tal-verżjoni u s-sintassi tal-kmand ma jaqblux, waqaf u aqra d-dokumentazzjoni tar-rilaxx installat.

Il-preċedenza tispjega fajl vars li tilef

Il-preċedenza dokumentata hija għażla tal-linja tal-kmand, imbagħad l-ambjent, imbagħad fajl vars, imbagħad valur prestabbilit integrat. Għalhekk valur korrett f'vars jitlef kontra varjabbli tal-ambjent li ntiret, u din hija l-verżjoni kwieta ta' dan il-falliment. Spezzjona l-varjabbli maħsuba u l-għażla tal-fajl minflok ma tferra l-ambjent kollu fi tiket. Id-differenza bejn it-tnejn normalment hija sigriet.

Għaddi mill-katina bl-ordni u innota liema sors ipprovda l-mogħdija li użat il-kmand. Ladarba tkun taf dan, it-tiswija hija bandiera jew export, mhux awtorità ta' ċertifikazzjoni ġdida.

Ir-referenza tal-konfigurazzjoni ta' Easy-RSA tiddefinixxi s-selettur u l-preċedenza, u dik hija ċ-ċitazzjoni li trid titqiegħed fit-tiket.

Ikkonferma l-ħarrieġ b'materjal pubbliku

Bil-ħarrieġ tas-soltu bbażat fuq fajls, aqra ca.crt u qabbel il-marka tas-saba' tiegħu mar-rekord tal-ħarrieġ li approvajt. Isem tas-suġġett li jaqbel mhuwiex prova tal-identità, u lanqas direttorju bl-isem production. Il-marka tas-saba' biss tgħaqqad il-fajl li sibt mal-awtorità li ngħad lil sħabek biex jafdaw.

Kontroll tal-qari biss huwa biżżejjed: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Imbagħad stabbilixxi r-rwol tad-direttorju. Direttorju tat-talbiet li jintuża minn klijent mhuwiex database tal-ħarrieġ, u ċavetta tal-firma li tinżamm offline m'għandhiex x'tagħmel fuq kull host VPN. Ċavetta ca.key nieqsa hija proprjetà tad-disinn f'dak it-tqassim, mhux permess biex tivvinta awtorità sostituta.

Jekk l-istat tassew mar

Xi drabi l-mogħdija hija korretta u l-istat tassew mhuwiex hemm. Fajl index.txt vojot u counter tas-serje li reġa' beda jagħtuk PKI li tidher sana u ma tistax tipprova xejn dwar iċ-ċertifikati li qatt ma rat: it-tiġdid mhux se jħassar il-qodma, u n-numri l-ġodda se jaħbtu mal-istorja. Minflok irrestawra mill-backup approvat tas-CA, għax l-inizjalizzazzjoni ta' PKI vojta x'imkien ieħor sempliċement iċċaqlaq l-iżball u tħalli warajha t-tieni awtorità mhux relatata.

Ladarba l-mogħdija u l-ħarrieġ jaqblu, ittratta l-falliment li jmiss skont il-mertu tiegħu. Permission denied, ċavetta tal-firma li teħtieġ il-frażi sigrieta tagħha, u rekord tal-ħruġ nieqes huma tliet ħsarat differenti, u waħda biss minnhom hija dwar id-direttorju li għadek kemm ssewwi.

Qatt ma tneħħi l-kriptaġġ taċ-ċwievet u ma twessa' l-permessi tad-direttorji biex tgħatti żball fil-mogħdija. L-iżball huwa irħis biex jissewwa; it-tiswija mhijiex.