O servizo systemd chega ao proxy, pero non ao ficheiro CA

Instalaches o paquete CA aprobado e a petición funciona no terminal. O servizo segue informando dun erro ao cargar o certificado. Antes de cambiar a IP do proxy, comproba se ese proceso pode abrir o mesmo ficheiro.

Un servizo pode executarse como outro usuario Unix, empezar noutro directorio ou ver un sistema de ficheiros restrinxido. Unha ruta válida para a túa sesión non o é automaticamente para el.

Comeza por unha ruta absoluta

Comproba a ruta configurada no cliente real. En curl, por exemplo, --cacert escolle o paquete CA do destino; un proxy HTTPS ten opcións CA de proxy separadas. Outros clientes usan as súas propias claves de configuración ou variables de contorno.

Inspecciona tanto o ficheiro como os directorios que levan a el:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Son exemplos de diagnóstico, non instrucións para facer o ficheiro modificable por todos. Os permisos de atravesar directorios importan tanto como a lectura do ficheiro final.

Os permisos poden non ser todo o problema

Con ProtectHome=yes, systemd fai inaccesibles ao servizo as localizacións habituais dos directorios persoais. Cambiar o modo do ficheiro de certificado non elimina esa restrición do espazo de nomes. Un directorio raíz configurado tamén pode cambiar a que apunta unha ruta absoluta dentro do servizo.

Usa unha localización de configuración axeitada ao servizo, como un directorio baixo /etc destinado á aplicación, e concede só a lectura necesaria. Actualiza a ruta CA do cliente. Non retires outras restricións do sistema de ficheiros só porque a primeira copia estaba no teu directorio persoal.

Le o primeiro erro útil

«Non se pode cargar o ficheiro CA» e «a cadea de certificados non é de confianza» son fallos distintos. O primeiro pode pasar antes de que o cliente verifique nada. O segundo pode indicar que o paquete lexible contén a autoridade equivocada ou se aplica á conexión TLS incorrecta.

Despois de corrixir o acceso, proba de novo desde o contexto do servizo. Unha orde correcta no terminal segue sendo unha comparación útil, pero non proba que ficheiros ve o servizo nin que configuración de confianza usa o seu cliente.