Easy-RSA PKI yoʻq deb aytyaptimi? U boshqa joyga qarayapti

Buyruq ca.crt yoki index.txt yoʻqligi sababli toʻxtaydi, holbuki CA oylar davomida sertifikatlar berib kelmoqda. Organning oʻzida hech narsa oʻzgarmagan; buyruq shunchaki boshqa joyga qaragan. Easy-RSA 3 PKI katalogini variant, muhit oʻzgaruvchisi, vars fayli va ichki standart qiymatdan aniqlaydi va ularning har biri joylashtirish organidan uzoqqa ishora qilishi mumkin. Biror narsa yaratishdan oldin qaysi biri gʻalaba qozonganini tekshiring.

Xato katalogni emas, faylni nomlaydi

Oʻrnatish katalogi va beruvchi katalogi ikki xil joy. Mashinada easyrsa topish faqat asbob oʻrnatilganini isbotlaydi, VPN-ingiz ishonadigan organni topganini emas.

Shuning uchun paketni qayta oʻrnatish yoki init qadamini qayta ishga tushirish samarali koʻrinadi va hech narsani oʻzgartirmaydi.

Hamma narsadan oldin selektorni tekshiring

Easy-RSA 3 da selektor —EASYRSA_PKI yoki mos keluvchi --pki-dir variant. Masalan, mutlaq yoʻl bering --pki-dir=/srv/pki/office, va javob tasodifan qayerda turganingizga bogʻliq boʻlishni toʻxtatadi. Bu bitta odat bu xatoning butun bir sinfini yoʻq qiladi, ayniqsa cron yoki CI checkoutdan ishga tushiriladigan skriptlar uchun.

Avval avlodni tasdiqlang, chunki Easy-RSA 2 ning vars fayli va build-key odati Easy-RSA 3 kutgan modeldan boshqacha. easyrsa --version boshqa hech narsa qilishdan oldin avlodni chop etadi va ./easyrsa --help quyi buyruqlarni sanaydi: maqsad build-key 2.x degani, holbuki build-client-full 3.x degani. Eski KEY_DIR yoʻlni katalog nomi tanish koʻringani uchun 3.x chaqiruviga olib oʻtish aynan shu xatoni keltiradi.

Agar versiya satri va buyruq sintaksisi mos kelmasa, toʻxtang va oʻrnatilgan nashrning oʻz hujjatlarini oʻqing.

Ustuvorlik yutqazgan vars faylini tushuntiradi

Hujjatlashtirilgan ustuvorlik buyruq satri varianti, soʻngra muhit, soʻngra vars fayli, soʻngra ichki standart qiymatdir. Shuning uchun vars dagi toʻgʻri qiymat meros qolgan muhit oʻzgaruvchisiga yutqazadi va bu bu nosozlikning jim versiyasidir. Butun muhitni tikketga toʻkish oʻrniga moʻljallangan oʻzgaruvchilar va fayl tanlovini tekshiring. Ikkisi orasidagi farq odatda sir.

Zanjirni tartib bilan oʻting va buyruq ishlatgan yoʻlni qaysi manba berganini qayd eting. Buni bilsangiz, tuzatish yangi sertifikat organi emas, bayroq yoki export boʻladi.

Easy-RSA konfiguratsiya qoʻllanmasi selektor va ustuvorlikni belgilaydi va tikketga qoʻyiladigan havola shu.

Beruvchini ochiq material bilan tasdiqlang

Odatiy faylga asoslangan beruvchida ca.crt ni oʻqing va uning barmoq izini siz tasdiqlagan beruvchi yozuvi bilan solishtiring. Mos keluvchi subyekt nomi shaxs isboti emas, production nomli katalog ham emas. Topilgan faylni sizning hamkasblaringiz ishonishi aytilgan organ bilan faqat barmoq izi bogʻlaydi.

Faqat oʻqish tekshiruvi yetarli: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

Soʻngra katalogning rolini aniqlang. Mijoz ishlatadigan soʻrov katalogi beruvchi maʼlumotlar bazasi emas va oflayn saqlanadigan imzo kaliti har bir VPN xostida boʻlishi shart emas. Yoʻq ca.key bu tartibda dizayn xususiyati, almashtiruvchi organ oʻylab topishga ruxsat emas.

Agar holat haqiqatan yoʻqolgan boʻlsa

Baʼzan yoʻl toʻgʻri, holat esa haqiqatan yoʻq. Boʻsh index.txt va qayta ishga tushirilgan seriya hisoblagichi sizga sogʻlom koʻrinadigan, lekin hech qachon koʻrmagan sertifikatlari haqida hech narsani isbotlay olmaydigan PKI beradi: yangilanishlar eskilarini bekor qilmaydi va yangi raqamlar tarix bilan toʻqnashadi. Buning oʻrniga CA ning tasdiqlangan zaxira nusxasidan tiklang, chunki boshqa joyda boʻsh PKI ishga tushirish faqat xatoni koʻchiradi va orqada ikkinchi, aloqasiz organ qoldiradi.

Yoʻl va beruvchi kelishgach, keyingi nosozlikni mohiyatiga koʻra koʻrib chiqing. Permission denied, parol iborasini talab qiladigan imzo kaliti va yoʻq berish yozuvi uch xil nuqson, va ulardan faqat bittasi siz hozir tuzatgan katalogga tegishli.

Yoʻl xatosini yashirish uchun hech qachon kalit shifrlashni olib tashlamang va katalog ruxsatlarini kengaytirmang. Xatoni tuzatish arzon; tiklash unday emas.