Easy-RSA greška u registru na Windowsu: provjerite prikaz registra

Ta poruka o registru je neuspjelo traženje alata, a ne pokvaren CA. Uporedite prikaze za 32 bita i 64 bita prije uređivanja batch datoteke ili PKI-ja.

Batch datoteka se zaustavlja s porukom “Sistem nije mogao pronaći navedeni ključ ili vrijednost registra” i svi pretpostavljaju da je certifikacijsko tijelo pokvareno. Nije, ili barem još nije: skripta je pala dok je tražila softver, prije nego što je zamolila Easy-RSA da uradi bilo šta s ključem. Taj redoslijed je važan, jer znači da je popravka problem pretraživanja, a PKI je samo posmatrač. Čitanje linije koja je pala jeste cijela dijagnoza i traje manje od bilo kojeg zaobilaznog rješenja.

Greška se javlja prije nego što se CA dotakne

Stare Easy-RSA 2 batch datoteke pronalaze OpenSSL ili instalaciju OpenVPN upitom prema registru, a zatim postavljaju varijable na osnovu onoga što nađu. Kada upit ne vrati ništa, skripta se prekida prije nego što se izvrši bilo koja operacija sa certifikatom.

Poruka o ključu registra stoga je dokaz o okruženju skripte, a ne o direktoriju CA.

Dva prikaza registra, jedna batch datoteka

32-bitni proces i 64-bitni proces mogu vidjeti različite prikaze registra, a batch datoteka koja pretpostavlja jedan može promašiti unos koji postoji u drugom. Ova poređenja samo za čitanje pokazuju razliku za stari ključ koji koriste neke stare skripte:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referenca za reg query dokumentuje birače prikaza. Pokrenite oba u istom kontekstu kao skripta koja je pala, jer prikaz zavisi od toga kako se proces pokreće, kao i od zastavica. Ako unos postoji samo u jednom prikazu, uporedite putanju na koju pokazuje s instaliranim alatima prije nego što bilo šta promijenite. Ključ koji postoji ali pokazuje na stari instalacijski direktorij je drugačija greška od ključa koji nedostaje.

Ako nijedan prikaz nema unosa, instalater ga nikada nije stvorio i ručno pravljenje vrijednosti neće osposobiti alate.

Ne dodajte /reg:64 bezuslovno

Primamljiva popravka je dodati 64-bitni birač svakom upitu i nastaviti dalje. Na nekim instalacijama to je ispravno, a na drugima šalje skriptu u prikaz koji zaista nema ništa.

Promijenite pretragu tek nakon što vidite koji prikaz sadrži očekivanu vrijednost.

Otkrivanje nije popravka PKI-ja

Ova greška ne dokazuje da su CA certifikat, ključ za potpisivanje, datoteka serijskih brojeva ili baza opoziva oštećeni. Pokretanje clean-all kopiranog iz starog tutorijala uništilo bi potpuno drugi skup objekata, a pretraga bi ostala pokvarena. Držite te dvije aktivnosti odvojeno u glavi i u tiketu. Ako operacija sa certifikatom kasnije padne, procijenite je na osnovu njenih vlastitih dokaza.

Napravite sigurnosnu kopiju direktorija CA prije bilo kojeg eksperimenta, čak i onog za koji ste sigurni da je samo za čitanje.

Prelazak na Easy-RSA 3 je migracija

Održavano podešavanje treba koristiti vlastiti pokretač i model konfiguracije trenutnog paketa, i Easy-RSA 3 nije isti tok rada s batch datotekama kao Easy-RSA 2. Njegov brzi početak za novi PKI nije uputstvo za migraciju postojećeg tijela. Prije promjene verzija sačuvajte CA materijal plus evidenciju izdavanja i opoziva i slijedite uputstvo za nadogradnju te verzije. Inicijalizacija zamjenskog CA unutar autoritativnog direktorija da bi greška pronalaženja alata nestala najgora je opcija na listi.

Promjena verzije je projekt; greška u registru je jedno poslijepodne.

Poređenje koje to zaista rješava

Zapišite četiri stvari i uporedite ih direktno:

  • Koja skripta se izvršila i koja linija je pala.
  • Koji prikaz registra je ta linija tražila.
  • Koju putanju izvršne datoteke je skripta očekivala.
  • Koja instalacija zaista postoji na mašini.

Kada se ta četiri slože, greške nema, a svaki preostali problem s certifikatom može se čitati na osnovu njegovih vlastitih dokaza umjesto da se krivi CA.

Povezani članci