Easy-RSA säger att PKI saknas? Den tittar någon annanstans

Kommandot stannar med ett saknat ca.crt eller ett saknat index.txt, trots att CA:n har utfärdat certifikat i månader. Ingenting har förändrats hos auktoriteten; kommandot tittade helt enkelt någon annanstans. Easy-RSA 3 bestämmer en PKI-katalog utifrån ett alternativ, en miljövariabel, en vars-fil och ett inbyggt standardvärde, och vilket som helst av dem kan peka bort från distributionens auktoritet. Kontrollera vilken som vann innan du skapar något.

Felet namnger en fil, inte en katalog

Installationskatalogen och utfärdarens katalog är två olika platser. Att hitta easyrsa på maskinen bevisar bara att verktyget är installerat, inte att det hittade den auktoritet som din VPN litar på.

Därför känns det produktivt att installera om paketet eller köra init-steget igen, och det ändrar ingenting.

Kontrollera väljaren före allt annat

I Easy-RSA 3 är väljaren EASYRSA_PKI eller motsvarande --pki-dir alternativ. Ange en absolut sökväg som --pki-dir=/srv/pki/office, och svaret slutar bero på var du råkade stå. Den enda vanan tar bort en hel klass av det här felet, särskilt för skript som körs från cron eller från en CI-checkout.

Bekräfta först generationen, eftersom Easy-RSA 2-vanan med en vars-fil plus build-key är en annan modell än den Easy-RSA 3 förväntar sig. easyrsa --version skriver ut generationen innan den gör något annat, och ./easyrsa --help listar underkommandona: ett build-key-mål betyder 2.x, medan build-client-full betyder 3.x. Att ta en gammal KEY_DIR-sökväg till ett 3.x-anrop eftersom katalognamnet ser bekant ut ger exakt det här felet.

Om versionssträngen och kommandosyntaxen inte stämmer överens, stanna och läs dokumentationen för den installerade utgåvan.

Prioritetsordningen förklarar en vars-fil som förlorade

Den dokumenterade prioritetsordningen är kommandoradsalternativ, sedan miljö, sedan vars-fil, sedan inbyggt standardvärde. Ett korrekt värde i vars förlorar därför mot en ärvd miljövariabel, och det är den tysta versionen av det här felet. Undersök de avsedda variablerna och filvalet i stället för att dumpa hela miljön i ett ärende. Skillnaden mellan de två är oftast en hemlighet.

Gå igenom kedjan i ordning och notera vilken källa som gav sökvägen kommandot använde. När du vet det är rättelsen en flagga eller en export, inte en ny certifikatmyndighet.

Easy-RSA:s konfigurationsreferens definierar väljaren och prioritetsordningen, och det är den citering som ska in i ärendet.

Bekräfta utfärdaren med offentligt material

Med den vanliga filbaserade utfärdaren, läs ca.crt och jämför dess fingeravtryck med den utfärdarpost du godkände. Ett matchande subjektnamn är inte identitetsbevis, och en katalog som heter production är det inte heller. Bara fingeravtrycket knyter filen du hittade till den auktoritet som dina parter blev tillsagda att lita på.

En skrivskyddad kontroll räcker: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Bestäm sedan katalogens roll. En begärankatalog som en klient använder är inte en utfärdardatabas, och en signeringsnyckel som hålls offline har inget på varje VPN-värd att göra. En saknad ca.key är en designegenskap i den layouten, inte tillstånd att hitta på en ersättningsauktoritet.

Om tillståndet verkligen är borta

Ibland är sökvägen rätt och tillståndet verkligen inte där. En tom index.txt och en omstartad serieräknare ger dig en PKI som ser frisk ut och inte kan bevisa något om de certifikat den aldrig såg: förnyelser återkallar inte de gamla, och de nya numren kolliderar med historiken. Återställ i stället från CA:ns godkända säkerhetskopia, eftersom initiering av en tom PKI någon annanstans bara flyttar felet och lämnar en andra, orelaterad auktoritet efter sig.

När sökvägen och utfärdaren stämmer överens, ta nästa fel på dess egna meriter. Permission denied, en signeringsnyckel som behöver sin lösenfras och en saknad utfärdandepost är tre olika fel, och bara ett av dem handlar om katalogen du just rättade.

Ta aldrig bort nyckelkryptering eller utöka katalogbehörigheter för att dölja ett sökvägsfel. Felet är billigt att rätta; reparationen är det inte.