Easy-RSA inasema PKI haipo? Inaangalia mahali pengine

Amri inasimama kwa ca.crt iliyokosekana au index.txt iliyokosekana, ingawa CA imekuwa ikitoa vyeti kwa miezi. Hakuna kilichobadilika kwa mamlaka; amri ilitazama mahali pengine tu. Easy-RSA 3 huamua saraka ya PKI kutoka chaguo, kigeugeu cha mazingira, faili ya vars na thamani ya chaguo-msingi iliyojengwa ndani, na yoyote kati ya hizi inaweza kuelekeza mbali na mamlaka ya usambazaji. Angalia ni ipi iliyoshinda kabla ya kuunda chochote.

Hitilafu inataja faili, si saraka

Saraka ya usakinishaji na saraka ya mtoaji ni maeneo mawili tofauti. Kupata easyrsa kwenye mashine kunathibitisha tu kuwa chombo kimesakinishwa, si kwamba kimepata mamlaka ambayo VPN yako inaamini.

Ndiyo sababu kusakinisha upya kifurushi au kuendesha tena hatua ya init huonekana kuwa na tija na hakubadilishi chochote.

Angalia kichaguzi kabla ya kitu kingine chochote

Katika Easy-RSA 3 kichaguzi ni EASYRSA_PKI au chaguo linalolingana --pki-dir. Toa njia kamili kama --pki-dir=/srv/pki/office, na jibu litaacha kutegemea mahali ulipokuwa umesimama kwa bahati. Tabia hii moja huondoa tabaka zima la hitilafu hii, hasa kwa skripti zinazoendeshwa kutoka cron au kutoka kwa ukaguzi wa CI.

Kwanza thibitisha kizazi, kwa sababu tabia ya Easy-RSA 2 ya faili vars pamoja na build-key ni modeli tofauti na ile Easy-RSA 3 inatarajia. easyrsa --version huchapisha kizazi kabla ya kufanya kitu kingine chochote, na ./easyrsa --help huorodhesha amri ndogo: lengo build-key humaanisha 2.x, wakati build-client-full humaanisha 3.x. Kupeleka njia KEY_DIR ya zamani kwenye mwito wa 3.x kwa sababu jina la saraka linaonekana kuwa la kawaida huzalisha hitilafu hii hasa.

Ikiwa mfuatano wa toleo na sintaksia ya amri haziendani, simama na soma nyaraka za toleo lililosakinishwa.

Kipaumbele hueleza faili ya vars iliyoshindwa

Kipaumbele kilichoandikwa ni chaguo la mstari wa amri, kisha mazingira, kisha faili ya vars, kisha thamani ya chaguo-msingi iliyojengwa. Kwa hiyo thamani sahihi katika vars hushindwa na kigeugeu cha mazingira kilichorithiwa, na hii ndiyo toleo la kimya la kushindwa huku. Chunguza vigeugeu vilivyokusudiwa na uchaguzi wa faili badala ya kumwaga mazingira yote kwenye tiketi. Tofauti kati ya hizo mbili kwa kawaida ni siri.

Pitia mnyororo kwa mpangilio na uangalie ni chanzo kipi kilitoa njia ambayo amri ilitumia. Ukishaijua hiyo, marekebisho ni bendera au export, si mamlaka mpya ya vyeti.

Rejeleo la usanidi wa Easy-RSA hufafanua kichaguzi na kipaumbele, na hiyo ndiyo nukuu ya kuweka kwenye tiketi.

Thibitisha mtoaji kwa nyenzo za umma

Kwa mtoaji wa kawaida unaotegemea faili, soma ca.crt na ulinganishe alama yake ya kidole na rekodi ya mtoaji uliyoidhinisha. Jina la somo linalolingana si uthibitisho wa utambulisho, na saraka iitwayo production pia siyo. Alama ya kidole pekee ndiyo inayounganisha faili uliyoipata na mamlaka ambayo wenzako waliambiwa waamini.

Ukaguzi wa kusoma tu unatosha: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Kisha bainisha jukumu la saraka. Saraka ya maombi ambayo mteja hutumia si hifadhidata ya mtoaji, na ufunguo wa kusaini unaohifadhiwa nje ya mtandao hauna kazi kwenye kila mwenyeji wa VPN. Kutokuwepo kwa ca.key katika mpangilio huo ni sifa ya muundo, si ruhusa ya kubuni mamlaka mbadala.

Ikiwa hali kweli imeondoka

Wakati mwingine njia ni sahihi na hali haipo kabisa. Faili index.txt tupu na kihesabu cha mfululizo kilichoanzishwa upya hukupa PKI inayoonekana mzima na haiwezi kuthibitisha chochote kuhusu vyeti ambavyo haijawahi kuona: masasisho hayatafuta vya zamani, na nambari mpya zitagongana na historia. Badala yake rejesha kutoka nakala rudufu iliyoidhinishwa ya CA, kwa sababu kuanzisha PKI tupu mahali pengine huhamisha hitilafu tu na kuacha nyuma mamlaka ya pili isiyohusiana.

Pindi njia na mtoaji vinapokubaliana, shughulikia kushindwa kufuata kwa mujibu wa asili yake. Permission denied, ufunguo wa kusaini unaohitaji kifungu chake cha siri, na rekodi ya utoaji iliyokosekana ni hitilafu tatu tofauti, na moja tu kati yao inahusu saraka uliyoirekebisha hivi punde.

Kamwe usiondoe usimbaji fiche wa ufunguo au kupanua ruhusa za saraka ili kuficha kosa la njia. Kosa ni rahisi kurekebisha; ukarabati siyo.