Mae gwasanaeth systemd yn cyrraedd y dirprwy ond nid ei ffeil CA

Rydych wedi gosod y bwndel CA cymeradwy ac mae’r cais yn gweithio mewn terfynell. Mae’r gwasanaeth yn dal i adrodd gwall llwytho tystysgrif. Cyn newid IP y dirprwy, gwiriwch a all y broses agor yr un ffeil.

Gall gwasanaeth redeg fel defnyddiwr Unix arall, dechrau mewn cyfeiriadur gwahanol neu weld system ffeiliau gyfyngedig. Nid yw llwybr sy’n ddilys ar gyfer eich mewngofnodi yn ddilys iddo’n awtomatig.

Dechreuwch gyda llwybr absoliwt

Gwiriwch y llwybr a osodwyd yn y cleient gwirioneddol. Yn curl, er enghraifft, mae --cacert yn dewis bwndel CA y gyrchfan; mae gan ddirprwy HTTPS opsiynau CA dirprwy ar wahân. Mae cleientiaid eraill yn defnyddio eu hallweddi ffurfweddu neu newidynnau amgylchedd eu hunain.

Archwiliwch y ffeil a’r cyfeiriaduron sy’n arwain ati:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Enghreifftiau diagnostig yw’r rhain, nid cyfarwyddiadau i wneud y ffeil yn ysgrifenadwy i bawb. Mae caniatâd croesi cyfeiriaduron yr un mor bwysig â chaniatâd darllen y ffeil derfynol.

Efallai nad caniatâd yw’r broblem gyfan

Gyda ProtectHome=yes, mae systemd yn gwneud lleoliadau cyfeiriaduron cartref safonol yn anhygyrch i’r gwasanaeth. Nid yw newid modd y ffeil dystysgrif yn dadwneud y cyfyngiad gofod enwau hwnnw. Gall cyfeiriadur gwraidd wedi’i osod hefyd newid at beth mae llwybr absoliwt yn cyfeirio y tu mewn i’r gwasanaeth.

Defnyddiwch leoliad ffurfweddu gwasanaeth priodol, megis cyfeiriadur o dan /etc ar gyfer yr ap, a rhowch y mynediad darllen angenrheidiol yn unig. Diweddarwch lwybr CA y cleient. Peidiwch â thynnu cyfyngiadau system ffeiliau amherthnasol dim ond oherwydd bod y copi cyntaf yn eich cyfeiriadur cartref personol.

Darllenwch y gwall defnyddiol cyntaf

Mae «Methu llwytho ffeil CA» ac «nid oes ymddiriedaeth yng nghadwyn y dystysgrif» yn fethiannau gwahanol. Gall y cyntaf ddigwydd cyn i’r cleient allu dilysu unrhyw beth. Gall yr ail olygu bod yr awdurdod anghywir yn y bwndel darllenadwy neu ei fod yn cael ei ddefnyddio ar y cysylltiad TLS anghywir.

Profwch eto o gyd-destun y gwasanaeth ar ôl cywiro mynediad. Mae gorchymyn terfynell llwyddiannus yn dal yn gymhariaeth ddefnyddiol, ond nid yw’n profi pa ffeiliau mae’r gwasanaeth yn eu gweld nac pa ffurfweddiad ymddiriedaeth mae ei gleient yn ei ddefnyddio.