Easy-RSA pravi, da PKI manjka? Gleda drugam

Ukaz se ustavi zaradi manjkajočega ca.crt ali manjkajočega index.txt, čeprav CA izdaja potrdila že mesece. Na sami ustanovi se ni nič spremenilo; ukaz je preprosto pogledal drugam. Easy-RSA 3 določi mapo PKI iz možnosti, okoljske spremenljivke, datoteke vars in vgrajene privzete vrednosti, in katera koli od teh lahko kaže stran od ustanove uvedbe. Preverite, katera je zmagala, preden karkoli ustvarite.

Napaka navaja datoteko, ne mape

Namestitvena mapa in mapa izdajatelja sta dve različni mesti. Iskanje easyrsa na stroju dokaže le, da je orodje nameščeno, ne pa, da je našlo ustanovo, ki ji zaupa vaš VPN.

Zato se ponovna namestitev paketa ali ponovni zagon koraka init zdi produktiven in ne spremeni ničesar.

Najprej preverite izbirnik

V Easy-RSA 3 je izbirnik EASYRSA_PKI ali ustrezna možnost --pki-dir. Navedite absolutno pot, na primer --pki-dir=/srv/pki/office, in odgovor ni več odvisen od tega, kje ste slučajno stali. Ta ena navada odstrani celo vrsto te napake, zlasti pri skriptih, zagnanih iz cron ali iz checkouta CI.

Najprej potrdite generacijo, ker je navada Easy-RSA 2 z datoteko vars plus build-key drugačen model od tistega, ki ga pričakuje Easy-RSA 3. easyrsa --version izpiše generacijo, preden naredi kar koli drugega, in ./easyrsa --help našteje podukaze: cilj build-key pomeni 2.x, medtem ko build-client-full pomeni 3.x. Prenos stare KEY_DIR poti v klic 3.x zato, ker je ime mape videti znano, povzroči točno to napako.

Če se niz različice in sintaksa ukaza ne ujemata, se ustavite in preberite dokumentacijo nameščene izdaje.

Prednost pojasnjuje izgubljeno datoteko vars

Dokumentirana prednost je možnost ukazne vrstice, nato okolje, nato datoteka vars, nato vgrajena privzeta vrednost. Zato pravilna vrednost v vars izgubi proti podedovani okoljski spremenljivki, in to je tiha različica te okvare. Preverite predvidene spremenljivke in izbiro datoteke, namesto da bi vso okolje stresli v zahtevek. Razlika med obema je običajno skrivnost.

Pojdite skozi verigo po vrsti in zabeležite, kateri vir je dal pot, ki jo je uporabil ukaz. Ko to veste, je popravek zastavica ali export, ne nova potrditvena ustanova.

Easy-RSA referenca za konfiguracijo opredeljuje izbirnik in prednost, in to je navedba, ki sodi v zahtevek.

Potrdite izdajatelja z javnim gradivom

Pri običajnem datotečnem izdajatelju preberite ca.crt in primerjajte njegov prstni odtis z zapisom izdajatelja, ki ste ga odobrili. Ujemajoče se ime subjekta ni dokaz identitete, prav tako ne mapa z imenom production. Samo prstni odtis poveže najdeno datoteko z ustanovo, ki naj bi ji vaši sodelavci zaupali.

Zadostuje pregled samo za branje: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Nato določite vlogo mape. Mapa zahtev, ki jo uporablja odjemalec, ni zbirka podatkov izdajatelja, in podpisni ključ, shranjen brez povezave, nima kaj početi na vsakem gostitelju VPN. Manjkajoč ca.key je v tej postavitvi lastnost zasnove, ne dovoljenje za izmišljanje nadomestne ustanove.

Če je stanje res izginilo

Včasih je pot pravilna in stanja res ni. Prazen index.txt in znova zagnan serijski števec vam dasta PKI, ki je videti zdrava in ne more dokazati ničesar o potrdilih, ki jih ni nikoli videla: podaljšanja ne bodo preklicala starih, nove številke pa bodo trčile z zgodovino. Namesto tega obnovite iz odobrene varnostne kopije CA, ker inicializacija prazne PKI drugje samo premakne napako in za seboj pusti drugo, nepovezano ustanovo.

Ko se pot in izdajatelj ujameta, obravnavajte naslednjo okvaro po njeni zaslugi. Permission denied, podpisni ključ, ki potrebuje svojo geselsko frazo, in manjkajoč zapis o izdaji so tri različne okvare, in samo ena od njih se nanaša na mapo, ki ste jo pravkar popravili.

Nikoli ne odstranite šifriranja ključev in ne razširite dovoljenj map, da bi prikrili napako poti. Napako je poceni popraviti; popravilo ne.