Μια υπηρεσία systemd φτάνει στον proxy, αλλά όχι στο αρχείο CA

Έχετε εγκαταστήσει την εγκεκριμένη δέσμη CA και το αίτημα λειτουργεί στο τερματικό. Η υπηρεσία εξακολουθεί να αναφέρει σφάλμα φόρτωσης πιστοποιητικού. Πριν αλλάξετε την IP του proxy, ελέγξτε αν η διεργασία μπορεί να ανοίξει το ίδιο αρχείο.

Μια υπηρεσία μπορεί να εκτελείται ως άλλος χρήστης Unix, να ξεκινά σε άλλο κατάλογο ή να βλέπει περιορισμένο σύστημα αρχείων. Μια διαδρομή έγκυρη για τη σύνδεσή σας δεν είναι αυτόματα έγκυρη γι’ αυτήν.

Ξεκινήστε με απόλυτη διαδρομή

Ελέγξτε τη διαδρομή που έχει ρυθμιστεί στον πραγματικό πελάτη. Στο curl, για παράδειγμα, το --cacert επιλέγει τη δέσμη CA προορισμού· ένας HTTPS proxy έχει ξεχωριστές επιλογές CA proxy. Άλλοι πελάτες χρησιμοποιούν δικά τους κλειδιά ρυθμίσεων ή μεταβλητές περιβάλλοντος.

Εξετάστε το αρχείο και τους καταλόγους που οδηγούν σε αυτό:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Αυτά είναι διαγνωστικά παραδείγματα, όχι οδηγίες να γίνει το αρχείο εγγράψιμο από όλους. Τα δικαιώματα διέλευσης καταλόγων μετρούν όσο και το δικαίωμα ανάγνωσης του τελικού αρχείου.

Τα δικαιώματα μπορεί να μην είναι όλο το πρόβλημα

Με το ProtectHome=yes, το systemd κάνει τις τυπικές θέσεις προσωπικών καταλόγων απρόσιτες στην υπηρεσία. Η αλλαγή του τρόπου πρόσβασης του αρχείου πιστοποιητικού δεν αναιρεί τον περιορισμό χώρου ονομάτων. Ένας ρυθμισμένος ριζικός κατάλογος μπορεί επίσης να αλλάξει τον προορισμό μιας απόλυτης διαδρομής μέσα στην υπηρεσία.

Χρησιμοποιήστε κατάλληλη θέση ρυθμίσεων υπηρεσίας, όπως κατάλογο κάτω από το /etc για αυτή την εφαρμογή, και δώστε μόνο την αναγκαία ανάγνωση. Ενημερώστε τη διαδρομή CA του πελάτη. Μην αφαιρείτε άσχετους περιορισμούς αρχείων μόνο επειδή το πρώτο αντίγραφο βρισκόταν στον προσωπικό σας κατάλογο.

Διαβάστε το πρώτο χρήσιμο σφάλμα

Το «Δεν μπορεί να φορτωθεί το αρχείο CA» και το «η αλυσίδα πιστοποιητικών δεν είναι έμπιστη» είναι διαφορετικές αποτυχίες. Η πρώτη μπορεί να συμβεί πριν από οποιαδήποτε επαλήθευση. Η δεύτερη μπορεί να σημαίνει ότι η αναγνώσιμη δέσμη περιέχει λάθος αρχή ή εφαρμόζεται σε λάθος σύνδεση TLS.

Μετά τη διόρθωση πρόσβασης, δοκιμάστε ξανά από το πλαίσιο της υπηρεσίας. Μια επιτυχής εντολή τερματικού παραμένει χρήσιμη σύγκριση, αλλά δεν αποδεικνύει ποια αρχεία βλέπει η υπηρεσία ή ποιες ρυθμίσεις εμπιστοσύνης χρησιμοποιεί ο πελάτης της.