systemd-servo atingas la prokurilon sed ne sian CA-dosieron

Vi instalis la aprobitan CA-pakon kaj la peto funkcias en terminalo. La servo ankoraŭ raportas eraron pri ŝargado de atestilo. Antaŭ ŝanĝi la prokurilan IP-on, kontrolu ĉu tiu procezo povas malfermi la saman dosieron.

Servo povas ruliĝi kiel alia Unix-uzanto, starti en alia dosierujo aŭ vidi limigitan dosiersistemon. Vojo valida por via ensaluto ne aŭtomate validas por ĝi.

Komencu per absoluta vojo

Kontrolu la vojon agorditan en la efektiva kliento. En curl, ekzemple, --cacert elektas la celan CA-pakon; HTTPS-prokurilo havas apartajn prokurilajn CA-opciojn. Aliaj klientoj uzas proprajn agordajn ŝlosilojn aŭ mediovariablojn.

Inspektu la dosieron kaj la dosierujojn kondukantajn al ĝi:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Ĉi tiuj estas diagnozaj ekzemploj, ne instrukcioj fari la dosieron skribebla por ĉiuj. Trapasaj permesoj de dosierujoj gravas same kiel la legopermeso de la fina dosiero.

Permesoj eble ne estas la tuta problemo

Kun ProtectHome=yes, systemd faras la normajn hejmdosierujajn lokojn nealireblaj al la servo. Ŝanĝi la reĝimon de la atestila dosiero ne nuligas tiun nomspacan limigon. Agordita radika dosierujo ankaŭ povas ŝanĝi kion absoluta vojo referencas ene de la servo.

Uzu taŭgan servan agordolokon, ekzemple dosierujon sub /etc destinitan al la aplikaĵo, kaj donu nur la bezonatan legopermeson. Ĝisdatigu la CA-vojon de la kliento. Ne forigu senrilatajn dosiersistemajn limigojn nur ĉar la unua kopio estis en via persona hejmdosierujo.

Legu la unuan utilan eraron

«Ne eblas ŝargi CA-dosieron» kaj «atestila ĉeno ne estas fidata» estas malsamaj eraroj. La unua povas okazi antaŭ ol la kliento kontrolas ion. La dua povas signifi ke la legebla pako enhavas la malĝustan aŭtoritaton aŭ estas aplikata al malĝusta TLS-konekto.

Retestu el la kunteksto de la servo post korekti aliron. Sukcesa terminala komando restas utila komparo, sed ne pruvas kiujn dosierojn la servo vidas aŭ kiun fidoagordon ĝia kliento uzas.