Easy-RSA-registerfout in Windows: controleer de registerweergave

Het batchbestand stopt met “Het systeem kan de opgegeven registersleutel of -waarde niet vinden” en iedereen gaat ervan uit dat de certificeringsautoriteit kapot is. Dat is niet zo, of althans nog niet: het script faalde tijdens het zoeken naar software, voordat het Easy-RSA vroeg iets met een sleutel te doen. Die volgorde doet ertoe, want ze betekent dat de reparatie een zoekprobleem is en de PKI slechts toeschouwer. De falende regel lezen is de hele diagnose, en dat kost minder tijd dan elke omweg.

De fout gebeurt voordat de CA wordt aangeraakt

Oude Easy-RSA 2-batchbestanden vinden OpenSSL of de installatie van OpenVPN door het register te bevragen en zetten daarna variabelen op basis van wat ze vinden. Als de query niets oplevert, breekt het script af voordat enige certificaatbewerking loopt.

Een bericht over een registersleutel is dus bewijs over de omgeving van het script, niet over de CA-map.

Twee registerweergaven, één batchbestand

Een 32-bits proces en een 64-bits proces kunnen verschillende registerweergaven zien, en een batchbestand dat de ene veronderstelt, kan de vermelding missen die in de andere bestaat. Deze alleen-lezen-vergelijkingen tonen het verschil voor de oude sleutel die sommige oude scripts gebruiken:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

De reg query-referentie documenteert de weergaveselectoren. Voer beide uit in dezelfde context als het falende script, want de weergave hangt af van hoe het proces start en ook van de vlaggen. Als de vermelding maar in één weergave bestaat, vergelijk dan het pad waarnaar die wijst met de geïnstalleerde tools voordat u iets wijzigt. Een sleutel die bestaat maar naar een oude installatiemap wijst, is een ander defect dan een ontbrekende sleutel.

Als geen van beide weergaven de vermelding heeft, heeft het installatieprogramma die nooit gemaakt, en een handmatig gemaakte waarde laat de tools niet werken.

Voeg /reg:64 niet zonder meer toe

De verleidelijke oplossing is de 64-bits selector aan elke query toe te voegen en verder te gaan. Bij sommige installaties is dat correct, bij andere stuurt het het script naar een weergave die werkelijk niets heeft.

Wijzig de zoekopdracht pas nadat u hebt gezien welke weergave de verwachte waarde bevat.

Ontdekken is geen PKI-reparatie

Deze fout bewijst niet dat het CA-certificaat, de ondertekeningssleutel, het serienummerbestand of de intrekkingsdatabase beschadigd zijn. Een clean-all uit een oude handleiding uitvoeren zou een heel andere set objecten vernietigen en de zoekopdracht kapot laten. Houd de twee activiteiten gescheiden in uw hoofd en in het ticket. Als een certificaatbewerking later mislukt, beoordeel die dan op zijn eigen bewijs.

Maak een back-up van de CA-map voor elk experiment, ook voor een waarvan u zeker weet dat het alleen leest.

Overstappen naar Easy-RSA 3 is een migratie

Een onderhouden installatie hoort de eigen launcher en het configuratiemodel van het huidige pakket te gebruiken, en Easy-RSA 3 is niet dezelfde batchbestand-workflow als Easy-RSA 2. De snelstart voor een nieuwe PKI is geen migratie-instructie voor een bestaande autoriteit. Bewaar vóór een versiewijziging het CA-materiaal plus de uitgifte- en intrekkingsadministratie, en volg de upgrade-aanwijzingen van die versie. Een vervangende CA initialiseren in de gezaghebbende map om een tool-detectiefout te laten verdwijnen is de slechtste optie op de lijst.

Een versiewijziging is een project; de registerfout is een middag.

De vergelijking die het echt oplost

Schrijf vier dingen op en vergelijk ze rechtstreeks:

• Welk script liep, en welke regel faalde.
• Welke registerweergave die regel bevroeg.
• Welk uitvoerbaar pad het script verwachtte.
• Welke installatie werkelijk op de machine staat.

Als die vier overeenkomen, is de fout weg, en elk resterend certificaatprobleem kan op zijn eigen bewijs worden gelezen in plaats van de CA de schuld te geven.