Easy-RSA seier at PKI-en manglar? Det ser ein annan stad

Kommandoen stoppar med ein manglande ca.crt eller ein manglande index.txt, sjølv om CA-en har utstelt sertifikat i månadsvis. Ingenting er endra ved autoriteten; kommandoen såg rett og slett ein annan stad. Easy-RSA 3 utleier ein PKI-katalog frå eit alternativ, ein miljøvariabel, ei vars-fil og ein innebygd standardverdi, og kven som helst av dei kan peike bort frå autoriteten til distribusjonen. Sjekk kven som vann før du opprettar noko.

Feilen namngjev ei fil, ikkje ein katalog

Installasjonskatalogen og utstadarkatalogen er to ulike stader. Å finne easyrsa på maskinen beviser berre at verktøyet er installert, ikkje at det fann autoriteten VPN-en din stolar på.

Difor kjennest det produktivt å installere pakken på nytt eller køyre init-steget igjen, og det endrar ingenting.

Sjekk veljaren før alt anna

I Easy-RSA 3 er veljaren EASYRSA_PKI eller det tilsvarande --pki-dir alternativet. Oppgi ein absolutt sti som --pki-dir=/srv/pki/office, og svaret sluttar å avhenge av kvar du tilfeldigvis stod. Den eine vanen fjernar ein heil klasse av denne feilen, særleg for skript som køyrer frå cron eller frå ein CI-sjekkut.

Stadfest først generasjonen, fordi Easy-RSA 2-vanen med ei vars-fil pluss build-key er ein annan modell enn den Easy-RSA 3 ventar. easyrsa --version skriv ut generasjonen før han gjer noko anna, og ./easyrsa --help listar opp underkommandoane: eit build-key-mål tyder 2.x, medan build-client-full tyder 3.x. Å ta ein gammal KEY_DIR-sti inn i eit 3.x-kall fordi katalognamnet ser kjent ut, gjev nøyaktig denne feilen.

Viss versjonsstrengen og kommandosyntaksen ikkje stemmer overeins, stopp og les dokumentasjonen til den installerte utgåva.

Forrang forklarar ei vars-fil som tapte

Den dokumenterte forrangen er kommandolinjealternativ, deretter miljø, deretter vars-fil, deretter innebygd standard. Ein korrekt verdi i vars taper difor mot ein nedarva miljøvariabel, og det er den stille versjonen av denne feilen. Undersøk dei tiltenkte variablane og filvalet i staden for å dumpe heile miljøet i ei sak. Skilnaden mellom dei to er vanlegvis ein løyndom.

Gå gjennom kjeda i rekkjefølgje og noter kva kjelde som leverte stien kommandoen brukte. Når du veit det, er rettinga eit flagg eller ein export, ikkje ein ny sertifiseringsautoritet.

Easy-RSA konfigurasjonsreferansen definerer veljaren og forrangen, og det er sitatet som skal inn i saka.

Stadfest utstadaren med offentleg materiale

Med den vanlege filbaserte utstadaren, les ca.crt og samanlikn fingeravtrykket med utstadarposten du godkjende. Eit samsvarande subjektnamn er ikkje identitetsbevis, og ein katalog som heiter production er det heller ikkje. Berre fingeravtrykket knyter fila du fann til autoriteten partane dine vart bedne om å stole på.

Ein skriveverna kontroll er nok: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Fastset deretter rolla til katalogen. Ein førespurnadskatalog som ein klient brukar, er ikkje ein utstadardatabase, og ein signeringsnøkkel som blir halden offline har ingenting på kvar VPN-vert å gjere. Ein manglande ca.key er ein designeigenskap i det oppsettet, ikkje løyve til å finne opp ein erstatningsautoritet.

Viss tilstanden verkeleg er borte

Nokre gonger er stien riktig og tilstanden verkeleg ikkje der. Ei tom index.txt og ein omstarta serieteljar gjev deg ein PKI som ser sunn ut og ikkje kan bevisa noko om sertifikata han aldri såg: fornyingar vil ikkje tilbakekalle dei gamle, og dei nye numra vil kollidere med historia. Gjenopprett frå den godkjende sikkerheitskopien til CA-en i staden, fordi initiering av ein tom PKI ein annan stad berre flyttar feilen og etterlet ein andre, urelatert autoritet.

Når stien og utstadaren er samde, ta den neste feilen på hans eigne premissar. Permission denied, ein signeringsnøkkel som treng passordfrasen sin, og ein manglande utstelingspost er tre ulike feil, og berre éin av dei handlar om katalogen du nettopp retta.

Fjern aldri nøkkelkryptering eller utvid katalogtillatingar for å dekkje over ein stifeil. Feilen er billeg å rette; reparasjonen er det ikkje.