Eroare de registru Easy-RSA în Windows: verificați vizualizarea registrului

Fișierul batch se oprește cu mesajul „Sistemul nu a putut găsi cheia sau valoarea de registru specificată” și toată lumea presupune că autoritatea de certificare este defectă. Nu este, sau cel puțin nu încă: scriptul a eșuat în timp ce căuta software, înainte de a cere Easy-RSA să facă ceva cu o cheie. Această ordine contează, pentru că înseamnă că repararea este o problemă de căutare, iar PKI-ul este doar spectator. Citirea liniei care eșuează este întregul diagnostic și durează mai puțin decât orice soluție ocolitoare.

Eroarea apare înainte ca CA să fie atinsă

Fișierele batch vechi Easy-RSA 2 localizează OpenSSL sau instalarea OpenVPN interogând registrul, apoi stabilesc variabile pe baza a ceea ce găsesc. Când interogarea nu returnează nimic, scriptul se oprește înainte de a rula vreo operație cu certificat.

Prin urmare, un mesaj despre o cheie de registru este o dovadă despre mediul scriptului, nu despre directorul CA.

Două vizualizări de registru, un singur fișier batch

Un proces pe 32 de biți și un proces pe 64 de biți pot vedea vizualizări diferite ale registrului, iar un fișier batch care presupune una poate rata intrarea care există în cealaltă. Aceste comparații doar pentru citire arată diferența pentru cheia veche pe care o folosesc unele scripturi vechi:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referința pentru reg query documentează selectorii de vizualizare. Rulați ambele în același context ca scriptul care eșuează, deoarece vizualizarea depinde de modul în care pornește procesul, precum și de indicatori. Dacă intrarea există doar într-o vizualizare, comparați calea către care indică cu instrumentele instalate înainte de a schimba ceva. O cheie care există dar indică un director de instalare vechi este o altă defecțiune decât o cheie absentă.

Dacă niciuna dintre vizualizări nu are intrarea, programul de instalare nu a creat-o niciodată, iar fabricarea unei valori manual nu va face instrumentele să funcționeze.

Nu adăugați /reg:64 fără condiții

Corectarea tentantă este să adăugați selectorul pe 64 de biți la fiecare interogare și să mergeți mai departe. Pe unele instalări este corect, pe altele trimite scriptul către o vizualizare care chiar nu are nimic.

Schimbați căutarea numai după ce ați văzut care vizualizare conține valoarea așteptată.

Descoperirea nu este repararea PKI

Această eroare nu demonstrează că certificatul CA, cheia de semnare, fișierul de serie sau baza de date de revocare sunt deteriorate. Rularea unui clean-all copiat dintr-un tutorial vechi ar distruge un set complet diferit de obiecte, lăsând căutarea defectă. Țineți cele două activități separate în minte și în tichet. Dacă o operație cu certificat eșuează mai târziu, evaluați-o pe baza propriilor dovezi.

Faceți o copie de siguranță a directorului CA înainte de orice experiment, chiar și de unul despre care sunteți sigur că este doar pentru citire.

Trecerea la Easy-RSA 3 este o migrare

O instalare întreținută ar trebui să folosească lansatorul și modelul de configurare proprii pachetului actual, și Easy-RSA 3 nu este același flux de lucru cu fișiere batch ca Easy-RSA 2. Ghidul său de pornire rapidă pentru un PKI nou nu este o instrucțiune de migrare pentru o autoritate existentă. Înainte de a schimba versiunile, păstrați materialul CA împreună cu înregistrările de emitere și revocare și urmați indicațiile de actualizare ale acelei versiuni. Inițializarea unui CA de înlocuire în directorul autoritativ pentru ca o eroare de descoperire a instrumentelor să dispară este cea mai proastă opțiune din listă.

O schimbare de versiune este un proiect; eroarea de registru este o după-amiază.

Comparația care o rezolvă cu adevărat

Notați patru lucruri și comparați-le direct:

• Ce script a rulat și ce linie a eșuat.
• Ce vizualizare de registru a interogat acea linie.
• Ce cale de executabil aștepta scriptul.
• Ce instalare există cu adevărat pe mașină.

Când aceste patru coincid, eroarea dispare, iar orice problemă de certificat rămasă poate fi citită pe baza propriilor dovezi în loc să fie învinuit CA-ul.