Easy-RSA-registreringsfeil i Windows: kontroller registreringsvisinga

Batchfila stoppar med meldinga «Systemet fann ikkje den angitte registreringsnøkkelen eller -verdien», og alle reknar med at sertifiseringsstyresmakta er øydelagd. Det er ho ikkje, eller i det minste ikkje enno: skriptet feila medan det leitte etter programvare, før det bad Easy-RSA gjere noko som helst med ein nøkkel. Den rekkjefølgja har noko å seie, fordi ho tyder at reparasjonen er eit søkjeproblem og at PKI-et berre er tilskodar. Å lese linja som feilar er heile diagnosen, og det tek kortare tid enn nokon av omvegane.

Feilen oppstår før CA-en vert rørt

Gamle Easy-RSA 2-batchfiler finn OpenSSL eller installasjonen av OpenVPN ved å spørje registeret, og set så variablar ut frå det dei finn. Når spørjinga ikkje returnerer noko, avbryt skriptet før nokon sertifikatoperasjon køyrer.

Ei melding om ein registreringsnøkkel er difor prov om miljøet til skriptet, ikkje om CA-mappa.

To registreringsvisingar, éi batchfil

Ein 32-bit-prosess og ein 64-bit-prosess kan sjå ulike registreringsvisingar, og ei batchfil som føreset den eine, kan oversjå oppføringa som finst i den andre. Desse samanlikningane berre for lesing viser skilnaden for den gamle nøkkelen som nokre gamle skript brukar:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referansen for reg query dokumenterer visingsveljarane. Køyr begge i same kontekst som skriptet som feila, fordi visinga avheng av korleis prosessen startar, og av flagga. Viss oppføringa berre finst i éi vising, samanlikn stien ho peikar på med dei installerte verktøya før du endrar noko. Ein nøkkel som finst men peikar på ei gammal installasjonsmappe, er ein annan feil enn ein nøkkel som manglar.

Viss ingen av visingane har oppføringa, har installasjonsprogrammet aldri laga ho, og ein handlaga verdi får ikkje verktøya til å verke.

Ikkje legg til /reg:64 utan vidare

Den freistande rettinga er å leggje 64-bit-veljaren til kvar spørjing og gå vidare. På nokre installasjonar er det rett, på andre sender det skriptet til ei vising som verkeleg ikkje har noko.

Endre søket først etter at du har sett kva vising som har den venta verdien.

Å finne fram er ikkje PKI-reparasjon

Denne feilen beviser ikkje at CA-sertifikatet, signeringsnøkkelen, serienummerfila eller tilbakekallingsdatabasen er skadd. Å køyre ein clean-all kopiert frå ei gammal rettleing ville øydelegge eit heilt anna sett med objekt og late søket vere øydelagt. Hald dei to aktivitetane fråskilde i hovudet og i saka. Viss ein sertifikatoperasjon seinare feilar, vurder han ut frå sine eigne prov.

Tak sikkerheitskopi av CA-mappa før eitkvart eksperiment, også eit du er sikker på berre les.

Å flytte til Easy-RSA 3 er ein migrasjon

Ein vedlikehalden installasjon bør bruke den gjeldande pakka sin eigen oppstartar og konfigurasjonsmodell, og Easy-RSA 3 er ikkje same batchfil-arbeidsflyt som Easy-RSA 2. Hurtigstarten for eit nytt PKI er ikkje ein migreringsinstruks for ei eksisterande styresmakt. Før du byter versjon, tak vare på CA-materialet samt utferdings- og tilbakekallingsregistra, og følg oppgraderingsrettleinga for den versjonen. Å initialisere ein erstatnings-CA inne i den autoritative mappa for å få ein verktøysøkjefeil til å forsvinne er det dårlegaste alternativet på lista.

Ei versjonsendring er eit prosjekt; registreringsfeilen er ein ettermiddag.

Samanlikninga som faktisk løyser det

Skriv ned fire ting og samanlikn dei direkte:

• Kva skript som køyrde, og kva linje som feila.
• Kva registreringsvising den linja spurde.
• Kva køyrbar sti skriptet venta.
• Kva installasjon som faktisk finst på maskinen.

Når dei fire stemmer, er feilen borte, og eitkvart gjenverande sertifikatproblem kan lesast ut frå sine eigne prov i staden for å gje CA-en skulda.