Chyba registra Easy-RSA vo Windows: skontrolujte pohľad registra

Dávkový súbor sa zastaví so správou „Systém nemohol nájsť zadaný kľúč alebo hodnotu registra“ a všetci predpokladajú, že certifikačná autorita je rozbitá. Nie je, alebo aspoň zatiaľ nie: skript zlyhal pri hľadaní softvéru, skôr než požiadal Easy-RSA, aby s kľúčom čokoľvek urobil. Na tomto poradí záleží, pretože znamená, že oprava je problém hľadania a PKI je len divák. Prečítanie zlyhávajúceho riadku je celá diagnóza a zaberie menej času než ktorékoľvek obchádzanie.

Chyba nastane skôr, než sa CA vôbec dotkneme

Staré dávkové súbory Easy-RSA 2 zisťujú OpenSSL alebo inštaláciu OpenVPN dopytom do registra a potom nastavia premenné podľa toho, čo nájdu. Keď dopyt nič nevráti, skript sa ukončí skôr, než sa spustí akákoľvek operácia s certifikátom.

Správa o kľúči registra je teda dôkazom o prostredí skriptu, nie o adresári CA.

Dva pohľady registra, jeden dávkový súbor

32-bitový proces a 64-bitový proces môžu vidieť rôzne pohľady registra a dávkový súbor, ktorý predpokladá jeden z nich, môže minúť záznam, ktorý existuje v druhom. Tieto porovnania iba na čítanie ukazujú rozdiel pre starší kľúč, ktorý používajú niektoré staré skripty:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referenčná dokumentácia reg query popisuje selektory pohľadu. Spustite oba príkazy v rovnakom kontexte ako zlyhávajúci skript, pretože pohľad závisí od toho, ako sa proces spúšťa, aj od prepínačov. Ak záznam existuje len v jednom pohľade, porovnajte cestu, na ktorú ukazuje, s nainštalovanými nástrojmi, než čokoľvek zmeníte. Kľúč, ktorý existuje, ale ukazuje na starý inštalačný adresár, je iná porucha než chýbajúci kľúč.

Ak záznam nemá ani jeden pohľad, inštalátor ho nikdy nevytvoril a ručná výroba hodnoty nástroje nerozbehne.

Nepridávajte /reg:64 bezpodmienečne

Lákavá oprava je pridať 64-bitový selektor ku každému dopytu a ísť ďalej. Pri niektorých inštaláciách je to správne, pri iných to pošle skript do pohľadu, ktorý naozaj nič nemá.

Hľadanie zmeňte až potom, čo uvidíte, ktorý pohľad obsahuje očakávanú hodnotu.

Zisťovanie nie je oprava PKI

Táto chyba nepreukazuje, že certifikát CA, podpisovací kľúč, súbor so sériovými číslami alebo databáza odvolaní sú poškodené. Spustenie clean-all skopírovaného zo starého návodu by zničilo úplne inú sadu objektov a hľadanie by zostalo rozbité. Držte obe činnosti oddelene v hlave aj v tikete. Ak neskôr zlyhá operácia s certifikátom, posudzujte ju podľa jej vlastných dôkazov.

Pred akýmkoľvek experimentom si zálohujte adresár CA, aj keď ste si istí, že je len na čítanie.

Prechod na Easy-RSA 3 je migrácia

Udržiavaná inštalácia by mala používať vlastný spúšťač a konfiguračný model aktuálneho balíka a Easy-RSA 3 nie je rovnaký dávkový pracovný postup ako Easy-RSA 2. Jeho rýchly štart pre novú PKI nie je pokynom na migráciu existujúcej autority. Pred zmenou verzie zachovajte materiál CA plus záznamy o vydávaní a odvolaní a riaďte sa pokynmi na upgrade danej verzie. Inicializovať náhradnú CA v autoritatívnom adresári, aby chyba zisťovania nástrojov zmizla, je najhoršia možnosť v zozname.

Zmena verzie je projekt; chyba registra je popoludnie.

Porovnanie, ktoré to naozaj vyrieši

Zapíšte si štyri veci a priamo ich porovnajte:

• Ktorý skript sa spustil a ktorý riadok zlyhal.
• Ktorý pohľad registra ten riadok dopytoval.
• Ktorú cestu k spustiteľnému súboru skript očakával.
• Ktorá inštalácia na stroji skutočne existuje.

Keď sa tieto štyri zhodujú, chyba je preč a každý zostávajúci problém s certifikátom sa dá čítať podľa jeho vlastných dôkazov, namiesto obviňovania CA.