Услугата systemd достига проксито, но не и CA файла

Инсталирали сте одобрения CA пакет и заявката работи в терминала. Услугата продължава да съобщава грешка при зареждане на сертификата. Преди да смените IP на проксито, проверете дали процесът може да отвори същия файл.

Услугата може да работи като друг Unix потребител, да започва в друга директория или да вижда ограничена файлова система. Път, валиден за вашата сесия, не е автоматично валиден за нея.

Започнете с абсолютен път

Проверете пътя, настроен в действителния клиент. При curl например --cacert избира CA пакета на целта; HTTPS проксито има отделни CA опции за прокси. Други клиенти използват собствени ключове за конфигурация или променливи на средата.

Проверете файла и директориите по пътя до него:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Това са диагностични примери, не указания файлът да стане записваем от всички. Правата за преминаване през директории са важни колкото четенето на крайния файл.

Разрешенията може да не са целият проблем

С ProtectHome=yes systemd прави стандартните местоположения на домашни директории недостъпни за услугата. Промяна на режима на сертификатния файл не отменя ограничението на пространството от имена. Настроена основна директория също може да промени към какво сочи абсолютният път в услугата.

Използвайте подходящо място за конфигурация на услугата, като директория под /etc за това приложение, и дайте само нужния достъп за четене. Обновете CA пътя на клиента. Не премахвайте несвързани ограничения на файловата система само защото първото копие е било в личната ви домашна директория.

Прочетете първата полезна грешка

«Не може да се зареди CA файл» и «веригата сертификати не е доверена» са различни грешки. Първата може да настъпи преди клиентът да провери каквото и да е. Втората може да означава, че четимият пакет съдържа грешен издател или се прилага към грешна TLS връзка.

След поправяне на достъпа тествайте отново от контекста на услугата. Успешна терминална команда остава полезно сравнение, но не доказва кои файлове услугата вижда или коя конфигурация за доверие използва клиентът ѝ.