Easy-RSA भन्छ PKI छैन? यो अन्तै हेर्दै छ

ca.crt वा index.txt नभएको कारण आदेश रोकिन्छ, तर CA महिनौंदेखि प्रमाणपत्र जारी गर्दै आएको छ। अधिकारमा केही पनि बदलिएको छैन; आदेशले बस् अन्तै हेर्यो। Easy-RSA 3 एउटा विकल्प, वातावरण चर, vars फाइल र अन्तर्निहित पूर्वनिर्धारितबाट PKI डाइरेक्टरी निर्धारण गर्छ, र यीमध्ये कुनै पनि तैनाथीको अधिकारबाट टाढा देखाउन सक्छ। केही बनाउनु अघि कुनले जित्यो जाँच्नुहोस्।

त्रुटिले फाइलको नाम दिन्छ, डाइरेक्टरीको होइन

इन्स्टलेसन डाइरेक्टरी र जारीकर्ता डाइरेक्टरी दुई फरक ठाउँ हुन्। मेसिनमा easyrsa भेट्नुले उपकरण इन्स्टल भएको मात्र प्रमाणित गर्छ, तपाईंको VPN विश्वास गर्ने अधिकार भेट्यो भनेर होइन।

त्यसैले प्याकेज पुनः इन्स्टल गर्नु वा init चरण फेरि चलाउनु उपयोगी जस्तो लाग्छ र केही पनि बदल्दैन।

अरू सबैभन्दा पहिले चयनकर्ता जाँच्नुहोस्

Easy-RSA 3 मा चयनकर्ता हो EASYRSA_PKI वा मिल्ने --pki-dir विकल्प। उदाहरणका लागि पूर्ण मार्ग दिनुहोस् --pki-dir=/srv/pki/office, र उत्तर तपाईं संयोगवश कहाँ उभिनुभएको थियो भन्नेमा निर्भर हुन छोड्छ। यो एउटा बानीले यो बगको सम्पूर्ण वर्ग हटाउँछ, विशेषगरी cron वा CI चेकआउटबाट चलाइने स्क्रिप्टका लागि।

पहिले पुस्ताको पुष्टि गर्नुहोस्, किनभने Easy-RSA 2 को vars फाइल र build-key बानी Easy-RSA 3 ले अपेक्षा गर्ने मोडेलभन्दा फरक हो। easyrsa --version अरू केही गर्नु अघि पुस्ता प्रिन्ट गर्छ, र ./easyrsa --help उपआदेशहरू सूचीबद्ध गर्छ: लक्ष्य build-key भन्नाले 2.x बुझिन्छ, जबकि build-client-full भन्नाले 3.x बुझिन्छ। पुरानो KEY_DIR मार्ग डाइरेक्टरीको नाम परिचित देखिन्छ भनेर 3.x कलमा लैजाँदा ठ्याक्कै यही त्रुटि उत्पन्न हुन्छ।

यदि संस्करण स्ट्रिङ र आदेशको सिन्ट्याक्स मिल्दैनन् भने, रोक्नुहोस् र इन्स्टल गरिएको रिलिजको आफ्नै कागजात पढ्नुहोस्।

प्राथमिकताले हारेको vars फाइलको व्याख्या गर्छ

कागजात गरिएको प्राथमिकता आदेश-लाइन विकल्प, त्यसपछि वातावरण, त्यसपछि vars फाइल, त्यसपछि अन्तर्निहित पूर्वनिर्धारित हो। त्यसैले vars मा सही मान वंशानुगत वातावरण चरसँग हार्छ, र यो यस असफलताको शान्त संस्करण हो। पूरै वातावरण टिकटमा खन्याउनुको सट्टा इच्छित चर र फाइल छनोट जाँच्नुहोस्। दुईबीचको फरक सामान्यतया एउटा रहस्य हो।

शृंखला क्रममा हिँड्नुहोस् र आदेशले प्रयोग गरेको मार्ग कुन स्रोतले दियो नोट गर्नुहोस्। त्यो थाहा भएपछि, सुधार नयाँ प्रमाणपत्र अधिकार होइन, एउटा फ्ल्याग वा export हो।

Easy-RSA कन्फिगरेसन सन्दर्भ ले चयनकर्ता र प्राथमिकता परिभाषित गर्छ, र टिकटमा राख्नुपर्ने उद्धरण त्यही हो।

सार्वजनिक सामग्रीबाट जारीकर्ताको पुष्टि गर्नुहोस्

सामान्य फाइल-आधारित जारीकर्ताको हकमा, पढ्नुहोस् ca.crt र यसको फिंगरप्रिन्ट तपाईंले स्वीकृत गरेको जारीकर्ता रेकर्डसँग मिलाउनुहोस्। मिल्ने विषय नाम पहिचानको प्रमाण होइन, र production नामको डाइरेक्टरी पनि होइन। तपाईंले फेला पारेको फाइललाई तपाईंका साथीहरूलाई विश्वास गर्न भनिएको अधिकारसँग जोड्ने फिंगरप्रिन्ट मात्र हो।

पढ्ने मात्र जाँच पर्याप्त छ: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

त्यसपछि डाइरेक्टरीको भूमिका निर्धारण गर्नुहोस्। ग्राहकले प्रयोग गर्ने अनुरोध डाइरेक्टरी जारीकर्ता डाटाबेस होइन, र अफलाइन राखिएको हस्ताक्षर कुञ्जीको हरेक VPN होस्टमा कुनै काम छैन। नभएको ca.key त्यो लेआउटमा डिजाइन विशेषता हो, वैकल्पिक अधिकार रच्ने अनुमति होइन।

यदि अवस्था साँच्चै गयो भने

कहिलेकाहीँ मार्ग सही हुन्छ र अवस्था साँच्चै त्यहाँ हुँदैन। खाली index.txt र पुनः सुरु गरिएको क्रमिक गणकले तपाईंलाई स्वस्थ देखिने तर कहिल्यै नदेखेका प्रमाणपत्रहरूबारे केही पनि प्रमाणित गर्न नसक्ने PKI दिन्छ: नवीकरणले पुरानालाई रद्द गर्दैन, र नयाँ नम्बरहरू इतिहाससँग ठोक्किन्छन्। यसको सट्टा CA को स्वीकृत ब्याकअपबाट पुनर्स्थापना गर्नुहोस्, किनभने अन्तै खाली PKI सुरु गर्नुले त्रुटि सार्न मात्र गर्छ र पछाडि दोस्रो, असम्बन्धित अधिकार छोड्छ।

मार्ग र जारीकर्ता मिलेपछि, अर्को असफलतालाई यसको गुणअनुसार लिनुहोस्। Permission denied, पासफ्रेज चाहिने हस्ताक्षर कुञ्जी, र हराएको जारी रेकर्ड तीन फरक खराबी हुन्, र तीमध्ये एउटा मात्र तपाईंले भर्खरै सुधारेको डाइरेक्टरीसँग सम्बन्धित छ।

मार्गको गल्ती छोप्न कहिल्यै कुञ्जी इन्क्रिप्सन हटाउनु वा डाइरेक्टरी अनुमति फराकिलो बनाउनु हुँदैन। गल्ती सुधार्न सस्तो छ; मर्मत होइन।