In systemd-tsjinst berikt de proxy, mar net it CA-bestân
Kontrolearje de bestânstagong fan de tsjinstbrûker en de systemd-bestânssysteemgrinzen as it proxysertifikaat allinnich yn in ynteraktive shell wurket.
Do hast de goedkarde CA-bondel ynstallearre en it fersyk wurket yn de terminal. De tsjinst meldt noch altyd in flater by it laden fan it sertifikaat. Kontrolearje oft dat proses itselde bestân iepenje kin foardatst de proxy-IP ferfangst.
In tsjinst kin as in oare Unix-brûker draaie, yn in oare map begjinne of in beheind bestânssysteem sjen. In paad dat foar dyn oanmelding jildich is, is dat net automatysk foar de tsjinst.
Begjin mei in absolút paad
Kontrolearje it ynstelde paad yn de echte kliïnt. By curl kiest --cacert bygelyks de CA-bondel fan it doel; in HTTPS-proxy hat aparte proxy-CA-opsjes. Oare kliïnten brûke eigen konfiguraasjekaaien of omjouwingsfariabelen.
Besjoch it bestân en de mappen op it paad derhinne:
namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectoryDit binne diagnoazefoarbylden, gjin ynstruksje om it bestân foar elkenien skriuwber te meitsjen. Rjochten om mappen troch te gean binne like wichtich as lêsrjochten op it úteinlike bestân.
Rjochten binne faaks net it hiele probleem
Mei ProtectHome=yes makket systemd de gewoane home-maplokaasjes ûnberikber foar de tsjinst. De bestânsmodus fan it sertifikaat feroarje hellet dy nammeromtebeheining net fuort. In ynstelde woartelmap kin ek feroarje wêr't in absolút paad yn de tsjinst nei ferwiist.
Brûk in gaadlik plak foar tsjinstkonfiguraasje, lykas in map ûnder /etc foar dy app, en jou allinnich de nedige lêstagong. Wurkje it CA-paad fan de kliïnt by. Helje gjin net-relatearre bestânssysteembeheiningen fuort allinnich om't de earste kopy yn dyn persoanlike home-map stie.
Lês de earste brûkbere flater
«CA-bestân kin net laden wurde» en «sertifikaatkeatling wurdt net fertroud» binne ferskillende flaters. De earste kin barre foardat de kliïnt wat ferifiearje kin. De twadde kin betsjutte dat de lêsbere bondel de ferkearde autoriteit hat of op de ferkearde TLS-ferbining tapast wurdt.
Test nei it ferbetterjen fan tagong opnij út de tsjinstkontekst. In slagge terminalopdracht bliuwt in nuttige ferliking, mar bewiist net hokker bestannen de tsjinst sjocht of hokker fertrouwenskonfiguraasje syn kliïnt brûkt.