El servei systemd arriba al proxy, però no al fitxer CA

Has instal·lat el paquet CA aprovat i la petició funciona al terminal. El servei continua informant d’un error en carregar el certificat. Abans de canviar la IP del proxy, comprova si aquell procés pot obrir el mateix fitxer.

Un servei pot executar-se com un altre usuari Unix, iniciar-se en un altre directori o veure un sistema de fitxers restringit. Una ruta vàlida per a la teva sessió no ho és automàticament per al servei.

Comença per una ruta absoluta

Comprova la ruta configurada al client real. A curl, per exemple, --cacert selecciona el paquet CA de la destinació; un proxy HTTPS té opcions CA de proxy separades. Altres clients fan servir les seves claus de configuració o variables d’entorn.

Inspecciona tant el fitxer com els directoris que hi porten:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Són exemples de diagnòstic, no instruccions per fer el fitxer modificable per tothom. Els permisos de travessar directoris importen tant com la lectura del fitxer final.

Els permisos poden no ser tot el problema

Amb ProtectHome=yes, systemd fa inaccessibles al servei les ubicacions habituals dels directoris personals. Canviar el mode del fitxer de certificat no elimina aquella restricció d’espai de noms. Un directori arrel configurat també pot canviar a què apunta una ruta absoluta dins del servei.

Fes servir una ubicació de configuració adequada al servei, com un directori sota /etc destinat a l’aplicació, i concedeix només la lectura necessària. Actualitza la ruta CA del client. No retiris altres restriccions del sistema de fitxers només perquè la primera còpia era al teu directori personal.

Llegeix el primer error útil

«No es pot carregar el fitxer CA» i «la cadena de certificats no és de confiança» són errors diferents. El primer pot passar abans que el client verifiqui res. El segon pot indicar que el paquet llegible conté l’autoritat equivocada o s’aplica a una connexió TLS incorrecta.

Després de corregir l’accés, torna a provar des del context del servei. Una ordre correcta al terminal continua sent una comparació útil, però no demostra quins fitxers veu el servei ni quina configuració de confiança fa servir el seu client.