Easy-RSA spune că PKI lipsește? Se uită în altă parte

Comanda se oprește cu un ca.crt lipsă sau un index.txt lipsă, deși CA emite certificate de luni de zile. Nimic nu s-a schimbat la autoritate; comanda pur și simplu s-a uitat în altă parte. Easy-RSA 3 determină un director PKI dintr-o opțiune, o variabilă de mediu, un fișier vars și o valoare implicită încorporată, iar oricare dintre acestea poate indica departe de autoritatea implementării. Verificați care a câștigat înainte de a crea ceva.

Eroarea numește un fișier, nu un director

Directorul de instalare și directorul emitentului sunt două locuri diferite. Găsirea easyrsa pe mașină dovedește doar că instrumentul este instalat, nu că a găsit autoritatea în care are încredere VPN-ul dumneavoastră.

De aceea reinstalarea pachetului sau rerularea pasului init pare productivă și nu schimbă nimic.

Verificați selectorul înainte de orice altceva

În Easy-RSA 3 selectorul este EASYRSA_PKI sau opțiunea corespunzătoare --pki-dir. Furnizați o cale absolută, de exemplu --pki-dir=/srv/pki/office, iar răspunsul nu mai depinde de locul în care vă aflați din întâmplare. Acest singur obicei elimină o întreagă clasă a acestei erori, mai ales pentru scripturile rulate din cron sau dintr-un checkout CI.

Confirmați mai întâi generația, deoarece obiceiul Easy-RSA 2 cu un fișier vars plus build-key este un model diferit de cel pe care îl așteaptă Easy-RSA 3. easyrsa --version afișează generația înainte de a face orice altceva, iar ./easyrsa --help listează subcomenzile: o țintă build-key înseamnă 2.x, în timp ce build-client-full înseamnă 3.x. Aducerea unei căi KEY_DIR vechi într-un apel 3.x pentru că numele directorului pare familiar produce exact această eroare.

Dacă șirul versiunii și sintaxa comenzii nu concordă, opriți-vă și citiți documentația versiunii instalate.

Precedența explică un fișier vars pierdut

Precedența documentată este opțiunea din linia de comandă, apoi mediul, apoi fișierul vars, apoi valoarea implicită încorporată. Prin urmare, o valoare corectă în vars pierde în fața unei variabile de mediu moștenite, iar aceasta este versiunea tăcută a acestei defecțiuni. Inspectați variabilele dorite și selecția fișierului în loc să vărsați tot mediul într-un tichet. Diferența dintre cele două este de obicei un secret.

Parcurgeți lanțul în ordine și notați ce sursă a furnizat calea folosită de comandă. Odată ce știți asta, remedierea este un flag sau un export, nu o nouă autoritate de certificare.

Referința de configurare Easy-RSA definește selectorul și precedența, iar aceasta este citarea care trebuie pusă în tichet.

Confirmați emitentul cu material public

La emitentul obișnuit bazat pe fișiere, citiți ca.crt și comparați amprenta lui cu înregistrarea emitentului pe care ați aprobat-o. Un nume de subiect potrivit nu este dovadă de identitate, iar un director numit production nici atât. Doar amprenta leagă fișierul găsit de autoritatea în care li s-a spus colegilor dumneavoastră să aibă încredere.

Este suficientă o verificare doar pentru citire: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Apoi stabiliți rolul directorului. Un director de cereri folosit de un client nu este o bază de date a emitentului, iar o cheie de semnare păstrată offline nu are ce căuta pe fiecare gazdă VPN. O ca.key lipsă este o proprietate de proiectare în acea configurație, nu o permisiune de a inventa o autoritate de înlocuire.

Dacă starea chiar a dispărut

Uneori calea este corectă și starea chiar nu există. Un index.txt gol și un contor de serie repornit vă dau o PKI care pare sănătoasă și nu poate dovedi nimic despre certificatele pe care nu le-a văzut niciodată: reînnoirile nu le vor revoca pe cele vechi, iar numerele noi se vor ciocni cu istoricul. Restaurați în schimb din copia de siguranță aprobată a CA, deoarece inițializarea unei PKI goale în altă parte doar mută eroarea și lasă în urmă o a doua autoritate, fără legătură.

Când calea și emitentul concordă, tratați următoarea defecțiune pe merit. Permission denied, o cheie de semnare care are nevoie de fraza sa de acces și o înregistrare de emitere lipsă sunt trei defecțiuni diferite, iar doar una dintre ele privește directorul pe care tocmai l-ați corectat.

Nu eliminați niciodată criptarea cheilor și nu lărgiți permisiunile directorului pentru a masca o eroare de cale. Eroarea este ieftin de corectat; repararea nu.