Napaka registra Easy-RSA v Windows: preverite pogled registra

Paketna datoteka se ustavi s sporočilom »Sistem ni mogel najti navedenega ključa ali vrednosti registra« in vsi domnevajo, da je potrditveni organ pokvarjen. Ni, ali vsaj še ne: skript ni uspel med iskanjem programske opreme, preden je Easy-RSA prosil, da s ključem karkoli stori. Ta vrstni red je pomemben, ker pomeni, da je popravilo težava iskanja in je PKI le opazovalec. Branje vrstice, ki ne uspe, je celotna diagnoza in traja manj časa kot katera koli rešitev obvoda.

Napaka se pojavi, preden se CA dotaknemo

Stare paketne datoteke Easy-RSA 2 poiščejo OpenSSL ali namestitev OpenVPN s poizvedbo v registru in nato nastavijo spremenljivke glede na to, kar najdejo. Ko poizvedba ne vrne ničesar, se skript prekine, preden se izvede kakršna koli operacija s potrdilom.

Sporočilo o ključu registra je torej dokaz o okolju skripta, ne o imeniku CA.

Dva pogleda registra, ena paketna datoteka

32-bitni in 64-bitni proces lahko vidita različna pogleda registra, paketna datoteka, ki predpostavlja enega, pa lahko zgreši vnos, ki obstaja v drugem. Te primerjave samo za branje prikazujejo razliko za stari ključ, ki ga uporabljajo nekateri stari skripti:

reg query "HKLM\SOFTWARE\OpenVPN" /reg:32
reg query "HKLM\SOFTWARE\OpenVPN" /reg:64

Referenca reg query opisuje izbirnike pogleda. Zaženite oba v istem kontekstu kot skript, ki ni uspel, ker je pogled odvisen od tega, kako se proces zažene, in tudi od zastavic. Če vnos obstaja samo v enem pogledu, primerjajte pot, na katero kaže, z nameščenimi orodji, preden karkoli spremenite. Ključ, ki obstaja, a kaže na star namestitveni imenik, je drugačna napaka kot manjkajoč ključ.

Če vnosa nima noben pogled, ga namestitveni program ni nikoli ustvaril, in ročno izdelana vrednost orodij ne bo pognala.

Ne dodajajte /reg:64 brez pogojev

Mamljiv popravek je dodati 64-bitni izbirnik vsaki poizvedbi in nadaljevati. Pri nekaterih namestitvah je to pravilno, pri drugih pošlje skript v pogled, ki res nima ničesar.

Iskanje spremenite šele potem, ko vidite, kateri pogled vsebuje pričakovano vrednost.

Odkrivanje ni popravilo PKI

Ta napaka ne dokazuje, da so potrdilo CA, podpisni ključ, datoteka serijskih številk ali zbirka preklicev poškodovani. Zagon clean-all, kopiranega iz stare vadnice, bi uničil povsem drugačen nabor predmetov, iskanje pa bi ostalo pokvarjeno. Dve dejavnosti držite ločeno v glavi in v zahtevku. Če pozneje operacija s potrdilom ne uspe, jo ocenite po njenih lastnih dokazih.

Pred vsakim poskusom naredite varnostno kopijo imenika CA, tudi če ste prepričani, da je samo za branje.

Prehod na Easy-RSA 3 je migracija

Vzdrževana namestitev bi morala uporabljati lastni zaganjalnik in model konfiguracije trenutnega paketa, in Easy-RSA 3 ni enak potek dela s paketnimi datotekami kot Easy-RSA 2. Njegov hitri začetek za nov PKI ni navodilo za selitev obstoječega organa. Pred menjavo različic ohranite gradivo CA ter evidence izdajanja in preklicev in sledite navodilom za nadgradnjo te različice. Inicializacija nadomestnega CA v pristojnem imeniku, da bi napaka odkrivanja orodij izginila, je najslabša možnost na seznamu.

Menjava različice je projekt; napaka registra je eno popoldne.

Primerjava, ki to resnično reši

Zapišite štiri stvari in jih primerjajte neposredno:

• Kateri skript se je izvedel in katera vrstica ni uspela.
• Kateri pogled registra je ta vrstica poizvedovala.
• Katero pot do izvršljive datoteke je skript pričakoval.
• Katera namestitev v resnici obstaja na stroju.

Ko se ti štirje ujemajo, napake ni več, in vsako preostalo težavo s potrdilom je mogoče brati po njenih lastnih dokazih, namesto da bi krivili CA.