Sinasabi ng Easy-RSA na wala ang PKI? Tumingin ito sa ibang lugar

Humihinto ang utos dahil kulang ang ca.crt o kulang ang index.txt, gayong may mga buwan nang naglalabas ng sertipiko ang CA. Walang nagbago sa awtoridad; tumingin lang ang utos sa ibang lugar. Tinutukoy ng Easy-RSA 3 ang direktoryo ng PKI mula sa isang opsyon, isang variable ng kapaligiran, isang file na vars at isang built-in na default, at alinman sa mga ito ay maaaring tumuro palayo sa awtoridad ng deployment. Suriin kung alin ang nanalo bago ka gumawa ng anuman.

Pinapangalanan ng error ang isang file, hindi isang direktoryo

Ang direktoryo ng pag-install at ang direktoryo ng naglalabas ay dalawang magkaibang lugar. Ang paghahanap ng easyrsa sa makina ay nagpapatunay lamang na naka-install ang tool, hindi na natagpuan nito ang awtoridad na pinagkakatiwalaan ng iyong VPN.

Kaya nga ang muling pag-install ng pakete o muling pagpapatakbo ng hakbang na init ay parang produktibo at wala namang binabago.

Suriin ang tagapili bago ang lahat

Sa Easy-RSA 3 ang tagapili ay EASYRSA_PKI o ang katumbas na --pki-dir opsyon. Magbigay ng ganap na landas tulad ng --pki-dir=/srv/pki/office, at ang sagot ay hindi na nakasalalay sa kung saan ka nagkataong nakatayo. Ang isang ugali na ito ay nag-aalis ng isang buong uri ng bug na ito, lalo na para sa mga script na pinapatakbo mula sa cron o mula sa isang CI checkout.

Kumpirmahin muna ang henerasyon, dahil ang ugali ng Easy-RSA 2 sa isang vars file at build-key ay ibang modelo kaysa sa inaasahan ng Easy-RSA 3. easyrsa --version ini-print ang henerasyon bago gawin ang anupamang bagay, at ./easyrsa --help naglilista ng mga subcommand: ang target build-key ay nangangahulugang 2.x, samantalang build-client-full ay nangangahulugang 3.x. Ang pagdala ng lumang KEY_DIR landas sa isang 3.x na tawag dahil pamilyar ang pangalan ng direktoryo ay gumagawa ng eksaktong error na ito.

Kung hindi tugma ang string ng bersyon at ang sintaks ng utos, huminto at basahin ang dokumentasyon ng naka-install na release.

Ipinapaliwanag ng prayoridad ang isang file na vars na natalo

Ang dokumentadong prayoridad ay opsyon sa command line, pagkatapos kapaligiran, pagkatapos file na vars, pagkatapos built-in na default. Kaya ang tamang halaga sa vars ay natatalo sa isang minanang variable ng kapaligiran, at ito ang tahimik na bersyon ng kabiguang ito. Suriin ang mga nilalayong variable at ang pagpili ng file sa halip na ibuhos ang buong kapaligiran sa isang ticket. Ang pagkakaiba ng dalawa ay karaniwang isang lihim.

Daanan ang kadena sa pagkakasunod-sunod at itala kung aling pinagmulan ang nagbigay ng landas na ginamit ng utos. Kapag alam mo na iyon, ang pagwawasto ay isang flag o export, hindi isang bagong awtoridad ng sertipiko.

Ang reference ng configuration ng Easy-RSA ay tumutukoy sa tagapili at sa prayoridad, at iyon ang sipi na ilalagay sa ticket.

Kumpirmahin ang naglalabas gamit ang pampublikong materyal

Sa karaniwang naglalabas na nakabatay sa file, basahin ang ca.crt at itugma ang fingerprint nito sa talaan ng naglalabas na inaprubahan mo. Ang tugmang pangalan ng paksa ay hindi ebidensya ng pagkakakilanlan, at ang direktoryong pinangalanang production ay hindi rin. Ang fingerprint lamang ang nag-uugnay sa file na natagpuan mo sa awtoridad na sinabihan sa iyong mga kapantay na pagkatiwalaan.

Sapat na ang pagsusuring read-only: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Pagkatapos, itatag ang papel ng direktoryo. Ang direktoryo ng kahilingan na ginagamit ng isang kliyente ay hindi database ng naglalabas, at ang susi ng paglagda na itinatago offline ay walang gagawin sa bawat host ng VPN. Ang kulang na ca.key ay isang katangian ng disenyo sa layout na iyon, hindi pahintulot na mag-imbento ng kapalit na awtoridad.

Kung talagang nawala ang estado

Minsan tama ang landas at talagang wala ang estado. Ang walang laman na index.txt at ang na-restart na serial counter ay nagbibigay sa iyo ng PKI na mukhang malusog at walang mapapatunayang anuman tungkol sa mga sertipikong hindi nito nakita: hindi bawiin ng mga renewal ang mga luma, at ang mga bagong numero ay babangga sa kasaysayan. Sa halip, i-restore mula sa aprubadong backup ng CA, dahil ang pagsisimula ng blangkong PKI sa ibang lugar ay naglilipat lamang ng error at nag-iiwan ng pangalawa, walang kaugnayang awtoridad.

Kapag nagkasundo ang landas at ang naglalabas, tratuhin ang susunod na kabiguan ayon sa sarili nitong merito. Permission denied, isang susi ng paglagda na nangangailangan ng passphrase nito, at kulang na talaan ng paglabas ay tatlong magkaibang sira, at isa lamang sa kanila ang tungkol sa direktoryong kaaayos mo lang.

Huwag kailanman tanggalin ang encryption ng susi o palawakin ang mga pahintulot ng direktoryo upang tabunan ang isang pagkakamali sa landas. Mura ang pagkakamali ayusin; ang pag-aayos ay hindi.