systemd xidməti proksiyə çatır, amma CA faylına yox

Təsdiqlənmiş CA paketini quraşdırmısınız və sorğu terminalda işləyir. Xidmət hələ sertifikat yükləmə xətası verir. Proksi IP-sini dəyişməzdən əvvəl prosesin eyni faylı aça bildiyini yoxlayın.

Xidmət başqa Unix istifadəçisi kimi işləyə, fərqli qovluqdan başlaya və ya məhdud fayl sistemi görə bilər. Girişinizə uyğun yol avtomatik olaraq xidmətə də uyğun deyil.

Mütləq yoldan başlayın

Həqiqi müştəridə qurulmuş yolu yoxlayın. Məsələn, curl-da --cacert hədəf CA paketini seçir; HTTPS proksidə ayrı proksi CA seçimləri var. Digər müştərilər öz konfiqurasiya açarlarını və ya mühit dəyişənlərini işlədirlər.

Həm faylı, həm də ona aparan qovluqları yoxlayın:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Bunlar diaqnostika nümunələridir, faylı hamı üçün yazıla bilən etmək göstərişi deyil. Qovluqlardan keçmə icazələri son faylın oxuma icazəsi qədər vacibdir.

Problem təkcə icazələrdən ibarət olmaya bilər

ProtectHome=yes ilə systemd standart ev qovluğu yerlərini xidmət üçün əlçatmaz edir. Sertifikat faylının rejimini dəyişmək ad sahəsi məhdudiyyətini aradan qaldırmır. Qurulmuş kök qovluq da xidmət daxilində mütləq yolun nəyə istinad etdiyini dəyişə bilər.

Tətbiqə ayrılmış /etc altındakı qovluq kimi uyğun xidmət konfiqurasiya yeri istifadə edin və yalnız lazım olan oxuma icazəsini verin. Müştərinin CA yolunu yeniləyin. İlk nüsxə şəxsi ev qovluğunuzda idi deyə əlaqəsiz fayl sistemi məhdudiyyətlərini silməyin.

İlk faydalı xətanı oxuyun

«CA faylını yükləmək olmur» və «sertifikat zəncirinə etibar edilmir» fərqli xətalardır. Birincisi müştəri nəyisə yoxlamazdan əvvəl baş verə bilər. İkincisi oxuna bilən paketin yanlış orqanı saxladığını və ya yanlış TLS bağlantısına tətbiq olunduğunu bildirə bilər.

Girişi düzəltdikdən sonra xidmət kontekstindən yenidən sınayın. Uğurlu terminal əmri faydalı müqayisədir, amma xidmətin hansı faylları gördüyünü və ya müştərinin hansı etibar quruluşunu işlətdiyini sübut etmir.