Easy-RSA PKI లేదని చెబుతోందా? అది మరెక్కడో చూస్తోంది

ca.crt లేదా index.txt లేకపోవడంతో ఆదేశం ఆగిపోతుంది, అయితే CA నెలల తరబడి ధృవపత్రాలను జారీ చేస్తోంది. అధికారంలో ఏమీ మారలేదు; ఆదేశం మరెక్కడో చూసింది అంతే. Easy-RSA 3 ఒక ఎంపిక, పరిసర చరం, vars ఫైల్ మరియు అంతర్నిర్మిత డిఫాల్ట్ నుండి PKI డైరెక్టరీని నిర్ణయిస్తుంది, మరియు వాటిలో ఏదైనా అమరిక అధికారం నుండి దూరంగా సూచించగలదు. ఏదైనా సృష్టించే ముందు ఏది గెలిచిందో తనిఖీ చేయండి.

లోపం డైరెక్టరీని కాదు, ఫైల్ను పేర్కొంటుంది

ఇన్స్టాలేషన్ డైరెక్టరీ మరియు జారీచేసేవారి డైరెక్టరీ రెండు వేర్వేరు ప్రదేశాలు. యంత్రంలో easyrsa కనుగొనడం సాధనం ఇన్స్టాల్ అయిందని మాత్రమే నిరూపిస్తుంది, మీ VPN నమ్మే అధికారాన్ని అది కనుగొందని కాదు.

అందుకే ప్యాకేజీని మళ్లీ ఇన్స్టాల్ చేయడం లేదా init దశను మళ్లీ అమలు చేయడం ఉపయోగకరంగా అనిపిస్తుంది, ఏమీ మారదు.

అన్నింటికంటే ముందు ఎంపికకర్తను తనిఖీ చేయండి

Easy-RSA 3 లో ఎంపికకర్త EASYRSA_PKI లేదా సరిపోయే --pki-dir ఎంపిక. ఉదాహరణకు సంపూర్ణ మార్గం ఇవ్వండి --pki-dir=/srv/pki/office, అప్పుడు సమాధానం మీరు యాదృచ్ఛికంగా నిలబడిన స్థలంపై ఆధారపడటం ఆగిపోతుంది. ఈ ఒక అలవాటు ఈ బగ్లోని మొత్తం వర్గాన్ని తొలగిస్తుంది, ముఖ్యంగా cron లేదా CI చెక్అవుట్ నుండి నడిచే స్క్రిప్టులకు.

మొదట తరంను నిర్ధారించండి, ఎందుకంటే Easy-RSA 2 యొక్క vars ఫైల్ మరియు build-key అలవాటు Easy-RSA 3 ఆశించే నమూనాకు భిన్నం. easyrsa --version మరేదైనా చేయక ముందే తరంను ముద్రిస్తుంది, మరియు ./easyrsa --help ఉప ఆదేశాలను జాబితా చేస్తుంది: లక్ష్యం build-key అంటే 2.x, అయితే build-client-full అంటే 3.x. పాత KEY_DIR మార్గాన్ని డైరెక్టరీ పేరు పరిచయంగా అనిపిస్తుందని 3.x పిలుపుకు తీసుకెళ్లడం సరిగ్గా ఈ లోపాన్నే కలిగిస్తుంది.

వెర్షన్ స్ట్రింగ్ మరియు ఆదేశ వాక్యనిర్మాణం సరిపోలకపోతే, ఆగి ఇన్స్టాల్ చేసిన విడుదల స్వంత పత్రాలను చదవండి.

ప్రాధాన్యత ఓడిపోయిన vars ఫైల్ను వివరిస్తుంది

పత్రీకరించిన ప్రాధాన్యత ఆదేశ-పంక్తి ఎంపిక, తర్వాత పరిసరం, తర్వాత vars ఫైల్, తర్వాత అంతర్నిర్మిత డిఫాల్ట్. కాబట్టి vars లోని సరైన విలువ వారసత్వంగా వచ్చిన పరిసర చరానికి ఓడిపోతుంది, ఇదే ఈ వైఫల్యానికి నిశ్శబ్ద సంస్కరణ. మొత్తం పరిసరాన్ని టికెట్లో పోసేయకుండా ఉద్దేశించిన చరాలు మరియు ఫైల్ ఎంపికను పరిశీలించండి. రెండింటి మధ్య భేదం సాధారణంగా ఒక రహస్యం.

గొలుసును క్రమంగా నడిచి ఆదేశం ఉపయోగించిన మార్గాన్ని ఏ మూలం ఇచ్చిందో గమనించండి. అది తెలిసిన తర్వాత, సరిదిద్దడం కొత్త ధృవపత్ర అధికారం కాదు, ఒక పతాకం లేదా export.

Easy-RSA కాన్ఫిగరేషన్ సూచన ఎంపికకర్తను మరియు ప్రాధాన్యతను నిర్వచిస్తుంది, టికెట్లో పెట్టవలసిన ఉల్లేఖనం అదే.

ప్రజా పదార్థంతో జారీచేసేవారిని నిర్ధారించండి

సాధారణ ఫైల్ ఆధారిత జారీచేసేవారితో, చదవండి ca.crt మరియు దాని వేలిముద్రను మీరు ఆమోదించిన జారీచేసేవారి రికార్డుతో సరిపోల్చండి. సరిపోయే విషయ నామం గుర్తింపు రుజువు కాదు, production అనే డైరెక్టరీ కూడా కాదు. మీరు కనుగొన్న ఫైలును మీ సహచరులకు నమ్మమని చెప్పిన అధికారంతో కలిపేది వేలిముద్ర మాత్రమే.

చదవడానికి మాత్రమే తనిఖీ సరిపోతుంది: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

తర్వాత డైరెక్టరీ పాత్రను నిర్ణయించండి. క్లయింట్ ఉపయోగించే అభ్యర్థన డైరెక్టరీ జారీచేసేవారి డేటాబేస్ కాదు, ఆఫ్లైన్లో ఉంచిన సంతకం కీ ప్రతి VPN హోస్ట్లో ఉండాల్సిన అవసరం లేదు. లేని ca.key ఆ అమరికలో డిజైన్ లక్షణం, ప్రత్యామ్నాయ అధికారాన్ని కల్పించే అనుమతి కాదు.

స్థితి నిజంగా పోయింది అయితే

కొన్నిసార్లు మార్గం సరైనది మరియు స్థితి నిజంగా అక్కడ లేదు. ఖాళీ index.txt మరియు పునఃప్రారంభించిన క్రమ సంఖ్యా కౌంటర్ మీకు ఆరోగ్యకరంగా కనిపించే, కానీ ఎప్పుడూ చూడని ధృవపత్రాల గురించి ఏమీ నిరూపించలేని PKI ఇస్తాయి: పునరుద్ధరణలు పాతవాటిని రద్దు చేయవు, కొత్త సంఖ్యలు చరిత్రతో ఢీకొంటాయి. బదులుగా CA యొక్క ఆమోదించిన బ్యాకప్ నుండి పునరుద్ధరించండి, ఎందుకంటే మరెక్కడో ఖాళీ PKI ప్రారంభించడం లోపాన్ని కదిలిస్తుంది మరియు వెనుక రెండవ, సంబంధం లేని అధికారాన్ని వదిలిస్తుంది.

మార్గం మరియు జారీచేసేవారు ఏకీభవించిన తర్వాత, తదుపరి వైఫల్యాన్ని దాని గుణాన్ని బట్టి పరిగణించండి. Permission denied, పాస్ఫ్రేజ్ అవసరమయ్యే సంతకం కీ, మరియు లేని జారీ రికార్డు మూడు వేర్వేరు లోపాలు, వాటిలో ఒకటి మాత్రమే మీరు ఇప్పుడే సరిచేసిన డైరెక్టరీ గురించి.

మార్గ లోపాన్ని కప్పడానికి ఎప్పుడూ కీ ఎన్క్రిప్షన్ను తీసివేయవద్దు లేదా డైరెక్టరీ అనుమతులను విస్తరించవద్దు. లోపాన్ని సరిచేయడం చవక; మరమ్మత్తు కాదు.