Easy-RSA ਕਹਿ ਰਿਹਾ ਹੈ ਕਿ PKI ਨਹੀਂ ਹੈ? ਇਹ ਕਿਤੇ ਹੋਰ ਵੇਖ ਰਿਹਾ ਹੈ

ca.crt ਜਾਂ index.txt ਨਾ ਹੋਣ ਕਰਕੇ ਆਦੇਸ਼ ਰੁਕ ਜਾਂਦਾ ਹੈ, ਜਦੋਂ ਕਿ CA ਮਹੀਨਿਆਂ ਤੋਂ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰ ਰਿਹਾ ਹੈ। ਅਧਿਕਾਰ ਵਿੱਚ ਕੁਝ ਨਹੀਂ ਬਦਲਿਆ; ਆਦੇਸ਼ ਨੇ ਬੱਸ ਕਿਤੇ ਹੋਰ ਵੇਖਿਆ। Easy-RSA 3 ਇੱਕ ਚੋਣ, ਵਾਤਾਵਰਨ ਚਰ, vars ਫਾਈਲ ਅਤੇ ਅੰਦਰੂਨੀ ਡਿਫਾਲਟ ਤੋਂ PKI ਡਾਇਰੈਕਟਰੀ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਤੈਨਾਤੀ ਦੇ ਅਧਿਕਾਰ ਤੋਂ ਦੂਰ ਦਿਖਾ ਸਕਦਾ ਹੈ। ਕੁਝ ਵੀ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਕਿਹੜਾ ਜਿੱਤਿਆ।

ਗਲਤੀ ਫਾਈਲ ਦਾ ਨਾਮ ਦਿੰਦੀ ਹੈ, ਡਾਇਰੈਕਟਰੀ ਦਾ ਨਹੀਂ

ਇੰਸਟਾਲੇਸ਼ਨ ਡਾਇਰੈਕਟਰੀ ਅਤੇ ਜਾਰੀਕਰਤਾ ਡਾਇਰੈਕਟਰੀ ਦੋ ਵੱਖਰੇ ਥਾਵਾਂ ਹਨ। ਮਸ਼ੀਨ 'ਤੇ easyrsa ਲੱਭਣਾ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਸਾਧਨ ਇੰਸਟਾਲ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਇਸਨੇ ਉਹ ਅਧਿਕਾਰ ਲੱਭਿਆ ਜਿਸ 'ਤੇ ਤੁਹਾਡਾ VPN ਭਰੋਸਾ ਕਰਦਾ ਹੈ।

ਇਸ ਲਈ ਪੈਕੇਜ ਦੁਬਾਰਾ ਇੰਸਟਾਲ ਕਰਨਾ ਜਾਂ init ਕਦਮ ਮੁੜ ਚਲਾਉਣਾ ਲਾਹੇਵੰਦ ਲੱਗਦਾ ਹੈ ਅਤੇ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ।

ਹੋਰ ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਚੋਣਕਾਰ ਜਾਂਚੋ

Easy-RSA 3 ਵਿੱਚ ਚੋਣਕਾਰ ਹੈ EASYRSA_PKI ਜਾਂ ਮੇਲ ਖਾਂਦਾ --pki-dir ਵਿਕਲਪ। ਉਦਾਹਰਨ ਲਈ ਪੂਰਾ ਰਾਹ ਦਿਓ --pki-dir=/srv/pki/office, ਅਤੇ ਜਵਾਬ ਤੁਸੀਂ ਸੰਜੋਗ ਨਾਲ ਕਿੱਥੇ ਖੜ੍ਹੇ ਸੀ ਇਸ 'ਤੇ ਨਿਰਭਰ ਹੋਣਾ ਬੰਦ ਕਰ ਦੇਵੇਗਾ। ਇਹ ਇੱਕ ਆਦਤ ਇਸ ਬੱਗ ਦੀ ਪੂਰੀ ਸ਼੍ਰੇਣੀ ਹਟਾ ਦਿੰਦੀ ਹੈ, ਖ਼ਾਸਕਰ cron ਜਾਂ CI ਚੈੱਕਆਉਟ ਤੋਂ ਚੱਲਣ ਵਾਲੀਆਂ ਸਕ੍ਰਿਪਟਾਂ ਲਈ।

ਪਹਿਲਾਂ ਪੀੜ੍ਹੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, ਕਿਉਂਕਿ Easy-RSA 2 ਦੀ vars ਫਾਈਲ ਅਤੇ build-key ਆਦਤ Easy-RSA 3 ਦੀ ਉਮੀਦ ਵਾਲੇ ਮਾਡਲ ਤੋਂ ਵੱਖਰੀ ਹੈ। easyrsa --version ਹੋਰ ਕੁਝ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੀੜ੍ਹੀ ਛਾਪਦਾ ਹੈ, ਅਤੇ ./easyrsa --help ਉਪ-ਆਦੇਸ਼ਾਂ ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ: ਇੱਕ ਟੀਚਾ build-key ਦਾ ਅਰਥ 2.x ਹੈ, ਜਦੋਂ ਕਿ build-client-full ਦਾ ਅਰਥ 3.x ਹੈ। ਪੁਰਾਣਾ KEY_DIR ਰਾਹ 3.x ਕਾਲ ਵਿੱਚ ਲਿਜਾਣਾ ਕਿਉਂਕਿ ਡਾਇਰੈਕਟਰੀ ਦਾ ਨਾਮ ਪਰਿਚਿਤ ਲੱਗਦਾ ਹੈ, ਬਿਲਕੁਲ ਇਹੀ ਗਲਤੀ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਜੇ ਵਰਜ਼ਨ ਸਟ੍ਰਿੰਗ ਅਤੇ ਆਦੇਸ਼ ਦਾ ਸਿੰਟੈਕਸ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ, ਤਾਂ ਰੁਕੋ ਅਤੇ ਇੰਸਟਾਲ ਕੀਤੀ ਰਿਲੀਜ਼ ਦੀ ਆਪਣੀ ਦਸਤਾਵੇਜ਼ ਪੜ੍ਹੋ।

ਤਰਜੀਹ ਹਾਰੀ ਹੋਈ vars ਫਾਈਲ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ

ਦਸਤਾਵੇਜ਼ੀ ਤਰਜੀਹ ਆਦੇਸ਼-ਲਾਈਨ ਵਿਕਲਪ, ਫਿਰ ਵਾਤਾਵਰਨ, ਫਿਰ vars ਫਾਈਲ, ਫਿਰ ਅੰਦਰੂਨੀ ਡਿਫਾਲਟ ਹੈ। ਇਸ ਲਈ vars ਵਿੱਚ ਸਹੀ ਮੁੱਲ ਵਿਰਾਸਤੀ ਵਾਤਾਵਰਨ ਚਰ ਨਾਲ ਹਾਰ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਇਸ ਅਸਫਲਤਾ ਦਾ ਸ਼ਾਂਤ ਸੰਸਕਰਣ ਹੈ। ਪੂਰਾ ਵਾਤਾਵਰਨ ਟਿਕਟ ਵਿੱਚ ਸੁੱਟਣ ਦੀ ਬਜਾਏ ਇੱਛਤ ਚਰ ਅਤੇ ਫਾਈਲ ਚੋਣ ਜਾਂਚੋ। ਦੋਹਾਂ ਵਿਚਕਾਰ ਫ਼ਰਕ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਭੇਤ ਹੁੰਦਾ ਹੈ।

ਜ਼ੰਜੀਰ ਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਚੱਲੋ ਅਤੇ ਨੋਟ ਕਰੋ ਕਿ ਆਦੇਸ਼ ਵੱਲੋਂ ਵਰਤਿਆ ਰਾਹ ਕਿਹੜੇ ਸਰੋਤ ਨੇ ਦਿੱਤਾ। ਇਹ ਪਤਾ ਲੱਗਣ ਤੋਂ ਬਾਅਦ, ਸੁਧਾਰ ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਅਧਿਕਾਰ ਨਹੀਂ, ਇੱਕ ਫਲੈਗ ਜਾਂ export ਹੈ।

Easy-RSA ਸੰਰਚਨਾ ਸੰਦਰਭ ਚੋਣਕਾਰ ਅਤੇ ਤਰਜੀਹ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਟਿਕਟ ਵਿੱਚ ਰੱਖਣ ਵਾਲਾ ਹਵਾਲਾ ਇਹੀ ਹੈ।

ਜਨਤਕ ਸਮੱਗਰੀ ਨਾਲ ਜਾਰੀਕਰਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਆਮ ਫਾਈਲ-ਆਧਾਰਿਤ ਜਾਰੀਕਰਤਾ ਨਾਲ, ਪੜ੍ਹੋ ca.crt ਅਤੇ ਇਸਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਉਸ ਜਾਰੀਕਰਤਾ ਰਿਕਾਰਡ ਨਾਲ ਮਿਲਾਓ ਜੋ ਤੁਸੀਂ ਮਨਜ਼ੂਰ ਕੀਤਾ ਸੀ। ਮੇਲ ਖਾਂਦਾ ਵਿਸ਼ਾ ਨਾਮ ਪਛਾਣ ਦਾ ਸਬੂਤ ਨਹੀਂ, ਅਤੇ production ਨਾਮ ਦੀ ਡਾਇਰੈਕਟਰੀ ਵੀ ਨਹੀਂ। ਤੁਹਾਡੇ ਸਾਥੀਆਂ ਨੂੰ ਭਰੋਸਾ ਕਰਨ ਲਈ ਕਹੇ ਗਏ ਅਧਿਕਾਰ ਨਾਲ ਤੁਹਾਡੀ ਲੱਭੀ ਫਾਈਲ ਨੂੰ ਜੋੜਦੀ ਸਿਰਫ਼ ਫਿੰਗਰਪ੍ਰਿੰਟ ਹੈ।

ਸਿਰਫ਼-ਪੜ੍ਹਨ ਜਾਂਚ ਕਾਫ਼ੀ ਹੈ: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

ਫਿਰ ਡਾਇਰੈਕਟਰੀ ਦੀ ਭੂਮਿਕਾ ਤੈਅ ਕਰੋ। ਕਲਾਇੰਟ ਵੱਲੋਂ ਵਰਤੀ ਜਾਂਦੀ ਬੇਨਤੀ ਡਾਇਰੈਕਟਰੀ ਜਾਰੀਕਰਤਾ ਡੇਟਾਬੇਸ ਨਹੀਂ, ਅਤੇ ਆਫਲਾਈਨ ਰੱਖੀ ਸਾਈਨਿੰਗ ਕੁੰਜੀ ਦਾ ਹਰ VPN ਹੋਸਟ 'ਤੇ ਕੋਈ ਕੰਮ ਨਹੀਂ। ਗੁੰਮ ca.key ਉਸ ਲੇਆਉਟ ਵਿੱਚ ਡਿਜ਼ਾਈਨ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਬਦਲਵਾਂ ਅਧਿਕਾਰ ਘੜਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ।

ਜੇ ਹਾਲਤ ਸੱਚਮੁੱਚ ਚਲੀ ਗਈ ਹੈ

ਕਈ ਵਾਰ ਰਾਹ ਸਹੀ ਹੁੰਦਾ ਹੈ ਅਤੇ ਹਾਲਤ ਸੱਚਮੁੱਚ ਉੱਥੇ ਨਹੀਂ ਹੁੰਦੀ। ਖਾਲੀ index.txt ਅਤੇ ਮੁੜ ਸ਼ੁਰੂ ਕੀਤਾ ਕ੍ਰਮਿਕ ਗਿਣਕਰ ਤੁਹਾਨੂੰ ਸਿਹਤਮੰਦ ਦਿਖਣ ਵਾਲੀ ਪਰ ਕਦੇ ਨਾ ਵੇਖੇ ਸਰਟੀਫਿਕੇਟਾਂ ਬਾਰੇ ਕੁਝ ਵੀ ਸਾਬਤ ਨਾ ਕਰ ਸਕਣ ਵਾਲੀ PKI ਦਿੰਦੇ ਹਨ: ਨਵੀਨੀਕਰਨ ਪੁਰਾਣਿਆਂ ਨੂੰ ਰੱਦ ਨਹੀਂ ਕਰਨਗੇ, ਅਤੇ ਨਵੇਂ ਨੰਬਰ ਇਤਿਹਾਸ ਨਾਲ ਟਕਰਾਉਣਗੇ। ਇਸ ਦੀ ਬਜਾਏ CA ਦੇ ਮਨਜ਼ੂਰ ਬੈਕਅਪ ਤੋਂ ਬਹਾਲ ਕਰੋ, ਕਿਉਂਕਿ ਹੋਰ ਕਿਤੇ ਖਾਲੀ PKI ਸ਼ੁਰੂ ਕਰਨਾ ਸਿਰਫ਼ ਗਲਤੀ ਨੂੰ ਹਿਲਾਉਂਦਾ ਹੈ ਅਤੇ ਪਿੱਛੇ ਦੂਜਾ, ਅਸੰਬੰਧਿਤ ਅਧਿਕਾਰ ਛੱਡ ਦਿੰਦਾ ਹੈ।

ਰਾਹ ਅਤੇ ਜਾਰੀਕਰਤਾ ਮੇਲ ਖਾਣ ਤੋਂ ਬਾਅਦ, ਅਗਲੀ ਅਸਫਲਤਾ ਨੂੰ ਇਸਦੀ ਯੋਗਤਾ 'ਤੇ ਲਓ। Permission denied, ਪਾਸਫਰੇਜ਼ ਲੋੜੀਂਦੀ ਸਾਈਨਿੰਗ ਕੁੰਜੀ, ਅਤੇ ਗੁੰਮ ਜਾਰੀ ਰਿਕਾਰਡ ਤਿੰਨ ਵੱਖਰੀਆਂ ਖਰਾਬੀਆਂ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਤੁਹਾਡੇ ਹੁਣੇ ਸੁਧਾਰੇ ਡਾਇਰੈਕਟਰੀ ਬਾਰੇ ਹੈ।

ਰਾਹ ਦੀ ਗਲਤੀ ਲੁਕਾਉਣ ਲਈ ਕਦੇ ਵੀ ਕੁੰਜੀ ਇਨਕ੍ਰਿਪਸ਼ਨ ਨਾ ਹਟਾਓ ਅਤੇ ਨਾ ਡਾਇਰੈਕਟਰੀ ਇਜਾਜ਼ਤਾਂ ਫੈਲਾਓ। ਗਲਤੀ ਸੁਧਾਰਨੀ ਸਸਤੀ ਹੈ; ਮੁਰੰਮਤ ਨਹੀਂ।