Easy-RSA PKI yok mu diyor? Başka bir yere bakıyor

Komut, eksik bir ca.crt veya eksik bir index.txt ile duruyor, oysa CA aylardır sertifika veriyor. Otoritede hiçbir şey değişmedi; komut yalnızca başka bir yere baktı. Easy-RSA 3 bir PKI dizinini bir seçenekten, bir ortam değişkeninden, bir vars dosyasından ve yerleşik bir varsayılandan belirler ve bunlardan herhangi biri dağıtımın otoritesinden uzağa işaret edebilir. Bir şey oluşturmadan önce hangisinin kazandığını kontrol edin.

Hata bir dizini değil, bir dosyayı adlandırır

Kurulum dizini ile verici dizini iki farklı yerdir. Makinede easyrsa bulmak yalnızca aracın kurulu olduğunu kanıtlar, VPN'inizin güvendiği otoriteyi bulduğunu değil.

Bu yüzden paketi yeniden kurmak veya init adımını yeniden çalıştırmak verimli görünür ve hiçbir şeyi değiştirmez.

Her şeyden önce seçiciyi kontrol edin

Easy-RSA 3'te seçici EASYRSA_PKI veya buna karşılık gelen --pki-dir seçeneğidir. Şöyle bir mutlak yol verin --pki-dir=/srv/pki/office, ve yanıt artık tesadüfen nerede durduğunuza bağlı olmaktan çıkar. Bu tek alışkanlık bu hatanın bütün bir sınıfını ortadan kaldırır, özellikle cron veya CI checkout üzerinden çalıştırılan betikler için.

Önce nesli doğrulayın, çünkü Easy-RSA 2'nin vars dosyası ve build-key alışkanlığı Easy-RSA 3'ün beklediği modelden farklıdır. easyrsa --version başka bir şey yapmadan önce nesli yazdırır ve ./easyrsa --help alt komutları listeler: bir build-key hedefi 2.x anlamına gelir, oysa build-client-full 3.x anlamına gelir. Dizin adı tanıdık geldiği için eski bir KEY_DIR yolu 3.x çağrısına taşımak tam olarak bu hatayı üretir.

Sürüm dizesi ile komut sözdizimi uyuşmuyorsa durun ve kurulu sürümün kendi belgelerini okuyun.

Öncelik sırası kaybeden bir vars dosyasını açıklar

Belgelenen öncelik sırası komut satırı seçeneği, sonra ortam, sonra vars dosyası, sonra yerleşik varsayılandır. Bu nedenle vars içindeki doğru bir değer devralınan bir ortam değişkenine yenilir ve bu, bu arızanın sessiz sürümüdür. Tüm ortamı bir bilete dökmek yerine amaçlanan değişkenleri ve dosya seçimini inceleyin. İkisi arasındaki fark genellikle bir sırdır.

Zinciri sırayla geçin ve komutun kullandığı yolu hangi kaynağın sağladığını not edin. Bunu bildiğinizde, düzeltme yeni bir sertifika otoritesi değil, bir bayrak veya export'tur.

Easy-RSA yapılandırma başvurusu seçiciyi ve önceliği tanımlar ve bilete konulacak kaynak budur.

Vericiyi genel materyalle doğrulayın

Her zamanki dosya tabanlı vericide ca.crt okuyun ve parmak izini onayladığınız verici kaydıyla eşleştirin. Eşleşen bir konu adı kimlik kanıtı değildir, production adlı bir dizin de değildir. Bulduğunuz dosyayı, eşlerinize güvenmeleri söylenen otoriteye yalnızca parmak izi bağlar.

Salt okunur bir kontrol yeterlidir: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Ardından dizinin rolünü belirleyin. Bir istemcinin kullandığı istek dizini verici veritabanı değildir ve çevrimdışı tutulan bir imzalama anahtarının her VPN ana bilgisayarında işi yoktur. Eksik bir ca.key bu düzende bir tasarım özelliğidir, yedek bir otorite uydurma izni değildir.

Durum gerçekten kaybolduysa

Bazen yol doğrudur ve durum gerçekten orada değildir. Boş bir index.txt ve yeniden başlatılmış bir seri sayacı size sağlıklı görünen ancak hiç görmediği sertifikalar hakkında hiçbir şey kanıtlayamayan bir PKI verir: yenilemeler eskileri iptal etmez ve yeni numaralar geçmişle çakışır. Bunun yerine CA'nın onaylı yedeğinden geri yükleyin, çünkü başka bir yerde boş bir PKI başlatmak hatayı yalnızca taşır ve arkasında ikinci, ilgisiz bir otorite bırakır.

Yol ve verici anlaştığında, sonraki arızayı kendi esasına göre ele alın. Permission denied, parola ifadesine ihtiyaç duyan bir imzalama anahtarı ve eksik bir verme kaydı üç farklı arızadır ve bunlardan yalnızca biri az önce düzelttiğiniz dizinle ilgilidir.

Bir yol hatasını örtmek için anahtar şifrelemesini asla kaldırmayın ve dizin izinlerini genişletmeyin. Hatanın düzeltilmesi ucuzdur; onarımı değildir.