Easy-RSA thotë se PKI mungon? Po shikon diku tjetër

Komanda ndalon me një ca.crt që mungon ose një index.txt që mungon, ndërkohë që CA ka muaj që lëshon certifikata. Asgjë nuk ka ndryshuar te autoriteti; komanda thjesht shikoi diku tjetër. Easy-RSA 3 përcakton një drejtori PKI nga një opsion, një variabël mjedisi, një skedar vars dhe një vlerë të paracaktuar të integruar, dhe cilado prej tyre mund të tregojë larg autoritetit të vendosjes. Kontrolloni cila fitoi përpara se të krijoni çfarëdo.

Gabimi emërton një skedar, jo një drejtori

Drejtoria e instalimit dhe drejtoria e lëshuesit janë dy vende të ndryshme. Gjetja e easyrsa në makinë provon vetëm se mjeti është instaluar, jo se ka gjetur autoritetin të cilit i beson VPN-ja juaj.

Prandaj riinstalimi i paketës ose riekzekutimi i hapit init duket produktiv dhe nuk ndryshon asgjë.

Kontrolloni përzgjedhësin para çdo gjëje tjetër

Në Easy-RSA 3 përzgjedhësi është EASYRSA_PKI ose opsioni përkatës --pki-dir. Jepni një shteg absolut si --pki-dir=/srv/pki/office, dhe përgjigja nuk varet më nga vendi ku ndodheshit rastësisht. Ky një zakon heq një klasë të tërë të këtij defekti, veçanërisht për skriptet e ekzekutuara nga cron ose nga një checkout CI.

Fillimisht konfirmoni gjeneratën, sepse zakoni i Easy-RSA 2 me një skedar vars plus build-key është një model tjetër nga ai që pret Easy-RSA 3. easyrsa --version shtyp gjeneratën para se të bëjë çdo gjë tjetër, dhe ./easyrsa --help liston nënkomandat: një objektiv build-key do të thotë 2.x, ndërsa build-client-full do të thotë 3.x. Bartja e një shtegu KEY_DIR të vjetër në një thirrje 3.x sepse emri i drejtorisë duket i njohur prodhon pikërisht këtë gabim.

Nëse vargu i versionit dhe sintaksa e komandës nuk përputhen, ndaloni dhe lexoni dokumentacionin e versionit të instaluar.

Përparësia shpjegon një skedar vars që humbi

Përparësia e dokumentuar është opsioni i rreshtit të komandës, pastaj mjedisi, pastaj skedari vars, pastaj vlera e paracaktuar e integruar. Prandaj një vlerë e saktë në vars humb ndaj një variabli mjedisi të trashëguar, dhe ky është versioni i qetë i këtij dështimi. Inspektoni variablat e synuara dhe zgjedhjen e skedarit në vend që të derdhni të gjithë mjedisin në një tiketë. Dallimi midis të dyjave është zakonisht një sekret.

Kaloji zinxhirin sipas radhës dhe shënoni cili burim dha shtegun që përdori komanda. Pasi ta dini këtë, rregullimi është një flamur ose një export, jo një autoritet i ri certifikimi.

Referenca e konfigurimit të Easy-RSA përcakton përzgjedhësin dhe përparësinë, dhe ai është citimi që duhet vënë në tiketë.

Konfirmoni lëshuesin me material publik

Me lëshuesin e zakonshëm të bazuar në skedarë, lexoni ca.crt dhe përputhni gjurmën e gishtit me regjistrin e lëshuesit që miratuat. Një emër subjekti që përputhet nuk është provë identiteti, dhe as një drejtori e quajtur production. Vetëm gjurma e gishtit e lidh skedarin që gjetët me autoritetin të cilit u është thënë kolegëve tuaj t'i besojnë.

Mjafton një kontroll vetëm për lexim: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Pastaj përcaktoni rolin e drejtorisë. Një drejtori kërkesash që përdor një klient nuk është bazë të dhënash e lëshuesit, dhe një çelës nënshkrimi i mbajtur jashtë linje nuk ka punë në çdo host VPN. Një ca.key që mungon është veti e projektimit në atë plan, jo leje për të shpikur një autoritet zëvendësues.

Nëse gjendja vërtet ka humbur

Ndonjëherë shtegu është i saktë dhe gjendja vërtet nuk është aty. Një index.txt bosh dhe një numërues serial i rinisur ju japin një PKI që duket e shëndetshme dhe nuk mund të provojë asgjë për certifikatat që nuk i pa kurrë: përtëritjet nuk do të revokojnë të vjetrat, dhe numrat e rinj do të përplasen me historinë. Në vend të kësaj rikthejeni nga kopja rezervë e miratuar e CA-së, sepse inicializimi i një PKI bosh diku tjetër thjesht e zhvendos gabimin dhe lë pas një autoritet të dytë, të palidhur.

Kur shtegu dhe lëshuesi përputhen, trajtojeni dështimin tjetër sipas meritës. Permission denied, një çelës nënshkrimi që kërkon frazën e tij të fshehtë, dhe një regjistër lëshimi që mungon janë tre defekte të ndryshme, dhe vetëm njëri prej tyre ka të bëjë me drejtorinë që sapo rregulluat.

Kurrë mos hiqni kriptimin e çelësave dhe mos zgjeroni lejet e drejtorisë për të mbuluar një gabim shtegu. Gabimi rregullohet lirshëm; riparimi jo.