Servis systemd doseže proxy, ali ne i CA datoteku

Instalirali ste odobreni CA paket i zahtjev radi u terminalu. Servis i dalje prijavljuje grešku učitavanja certifikata. Prije zamjene IP-ja proxyja provjerite može li taj proces otvoriti istu datoteku.

Servis može raditi kao drugi Unix korisnik, početi u drugom direktoriju ili vidjeti ograničen datotečni sistem. Putanja valjana za vašu prijavu nije automatski valjana za njega.

Počnite s apsolutnom putanjom

Provjerite putanju postavljenu u stvarnom klijentu. U curlu, naprimjer, --cacert bira CA paket odredišta; HTTPS proxy ima zasebne proxy CA opcije. Drugi klijenti koriste vlastite konfiguracijske ključeve ili varijable okruženja.

Pregledajte datoteku i direktorije koji vode do nje:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

To su dijagnostički primjeri, a ne upute da datoteku učinite zapisivom svima. Prava prolaska kroz direktorije važna su kao i čitanje konačne datoteke.

Dozvole možda nisu cijeli problem

S ProtectHome=yes systemd čini standardne lokacije kućnih direktorija nedostupnim servisu. Promjena načina datoteke certifikata ne uklanja ograničenje imenskog prostora. Postavljeni korijenski direktorij također može promijeniti na šta apsolutna putanja upućuje u servisu.

Koristite prikladno mjesto konfiguracije servisa, naprimjer aplikaciji namijenjen direktorij pod /etc, i dodijelite samo potreban pristup čitanju. Ažurirajte CA putanju klijenta. Ne uklanjajte nepovezana ograničenja datotečnog sistema samo zato što je prva kopija bila u vašem ličnom kućnom direktoriju.

Pročitajte prvu korisnu grešku

«Nije moguće učitati CA datoteku» i «lanac certifikata nije pouzdan» različite su greške. Prva može nastati prije bilo kakve provjere. Druga može značiti da čitljiv paket sadrži pogrešno tijelo ili se primjenjuje na pogrešnu TLS vezu.

Nakon popravke pristupa ponovo testirajte iz konteksta servisa. Uspješna naredba u terminalu ostaje korisno poređenje, ali ne dokazuje koje datoteke servis vidi ni koju konfiguraciju povjerenja njegov klijent koristi.