’n systemd-diens bereik die proxy, maar nie sy CA-lêer nie

Jy het die goedgekeurde CA-bundel geïnstalleer en die versoek werk in ’n terminaal. Die diens rapporteer steeds ’n sertifikaatlaaifout. Kontroleer of daardie proses dieselfde lêer kan oopmaak voordat jy die proxy-IP vervang.

’n Diens kan as ’n ander Unix-gebruiker loop, in ’n ander gids begin of ’n beperkte lêerstelsel sien. ’n Pad wat vir jou aanmelding geldig is, is nie outomaties vir die diens geldig nie.

Begin met ’n absolute pad

Kontroleer die pad wat in die werklike kliënt ingestel is. In curl kies --cacert byvoorbeeld die bestemming se CA-bundel; ’n HTTPS-proxy het afsonderlike proxy-CA-opsies. Ander kliënte gebruik hul eie opstellingsleutels of omgewingsveranderlikes.

Ondersoek die lêer sowel as die gidse op die pad daarna:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Dit is diagnostiese voorbeelde, nie instruksies om die lêer vir almal skryfbaar te maak nie. Regte om deur gidse te beweeg is net so belangrik as die finale lêer se leesreg.

Toestemmings is dalk nie die hele probleem nie

Met ProtectHome=yes maak systemd die standaard tuisgidsliggings ontoeganklik vir die diens. ’n Verandering aan die sertifikaatlêer se modus hef nie die naamruimtebeperking op nie. ’n Ingestelde wortelgids kan ook verander waarna ’n absolute pad binne die diens verwys.

Gebruik ’n geskikte plek vir diensopstelling, soos ’n gids onder /etc wat vir die toepassing bedoel is, en gee net die nodige leesreg. Werk die kliënt se CA-pad by. Moenie onverwante lêerstelselbeperkings verwyder net omdat die eerste kopie in jou persoonlike tuisgids gestoor is nie.

Lees die eerste nuttige fout

«Kan nie CA-lêer laai nie» en «sertifikaatketting word nie vertrou nie» is verskillende foute. Die eerste kan gebeur voordat die kliënt enigiets verifieer. Die tweede kan beteken dat die leesbare bundel die verkeerde owerheid bevat of op die verkeerde TLS-verbinding toegepas word.

Toets weer vanuit die diens se konteks nadat toegang reggestel is. ’n Suksesvolle terminaalopdrag bly ’n nuttige vergelyking, maar bewys nie watter lêers die diens sien of watter vertrouensopstelling sy kliënt gebruik nie.