systemd-palvelu tavoittaa välityspalvelimen mutta ei CA-tiedostoa

Hyväksytty CA-paketti on asennettu ja pyyntö toimii päätteessä. Palvelu ilmoittaa yhä varmenteen latausvirheestä. Tarkista ennen välityspalvelimen IP:n vaihtamista, voiko kyseinen prosessi avata saman tiedoston.

Palvelu voi toimia toisena Unix-käyttäjänä, aloittaa eri hakemistossa tai nähdä rajatun tiedostojärjestelmän. Kirjautumisellesi kelpaava polku ei automaattisesti kelpaa palvelulle.

Aloita absoluuttisesta polusta

Tarkista varsinaiseen asiakkaaseen asetettu polku. Esimerkiksi curlin --cacert valitsee kohteen CA-paketin; HTTPS-välityspalvelimelle on erilliset välityspalvelimen CA-valitsimet. Muut asiakkaat käyttävät omia asetusavaimiaan tai ympäristömuuttujiaan.

Tutki tiedosto ja siihen johtavat hakemistot:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Nämä ovat vianmääritysesimerkkejä, eivät ohjeita tehdä tiedostosta kaikkien kirjoitettava. Hakemistojen läpikulkuoikeus on yhtä tärkeä kuin lopullisen tiedoston lukuoikeus.

Käyttöoikeudet eivät ehkä ole koko ongelma

Asetuksella ProtectHome=yes systemd estää palvelulta pääsyn tavallisiin kotihakemistosijainteihin. Varmennetiedoston tilan muuttaminen ei poista nimiavaruusrajoitusta. Määritetty juurihakemisto voi myös muuttaa, mihin absoluuttinen polku palvelun sisällä viittaa.

Käytä sopivaa palveluasetusten sijaintia, kuten sovellukselle tarkoitettua hakemistoa /etc-hakemiston alla, ja anna vain tarvittava lukuoikeus. Päivitä asiakkaan CA-polku sinne. Älä poista asiaankuulumattomia tiedostojärjestelmärajoituksia vain siksi, että ensimmäinen kopio oli omassa kotihakemistossasi.

Lue ensimmäinen hyödyllinen virhe

«CA-tiedostoa ei voi ladata» ja «varmenneketjuun ei luoteta» ovat eri virheitä. Ensimmäinen voi tapahtua ennen kuin asiakas voi varmentaa mitään. Jälkimmäinen voi tarkoittaa, että luettava paketti sisältää väärän varmentajan tai sitä sovelletaan väärään TLS-yhteyteen.

Testaa pääsyn korjaamisen jälkeen uudelleen palvelun kontekstista. Onnistunut päätekomento on yhä hyödyllinen vertailu, mutta ei todista, mitä tiedostoja palvelu näkee tai mitä luottamusasetuksia sen asiakas käyttää.