Servis systemd doseže proxy, ali ne i CA datoteku

Instalirali ste odobreni CA paket i zahtjev radi u terminalu. Servis i dalje prijavljuje pogrešku učitavanja certifikata. Prije zamjene IP-ja proxyja provjerite može li taj proces otvoriti istu datoteku.

Servis može raditi kao drugi Unix korisnik, početi u drugom direktoriju ili vidjeti ograničen datotečni sustav. Putanja valjana za vašu prijavu nije automatski valjana za njega.

Počnite s apsolutnom putanjom

Provjerite putanju postavljenu u stvarnom klijentu. U curlu, primjerice, --cacert bira CA paket odredišta; HTTPS proxy ima zasebne proxy CA opcije. Drugi klijenti koriste vlastite konfiguracijske ključeve ili varijable okruženja.

Pregledajte datoteku i direktorije koji vode do nje:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

To su dijagnostički primjeri, a ne upute da datoteku učinite zapisivom svima. Prava prolaska kroz direktorije važna su kao i čitanje konačne datoteke.

Dozvole možda nisu cijeli problem

S ProtectHome=yes systemd čini standardne lokacije kućnih direktorija nedostupnima servisu. Promjena načina datoteke certifikata ne uklanja ograničenje imenskog prostora. Postavljeni korijenski direktorij također može promijeniti na što apsolutna putanja upućuje u servisu.

Koristite prikladno mjesto konfiguracije servisa, primjerice aplikaciji namijenjen direktorij pod /etc, i dodijelite samo potreban pristup čitanju. Ažurirajte CA putanju klijenta. Ne uklanjajte nepovezana ograničenja datotečnog sustava samo zato što je prva kopija bila u vašem osobnom kućnom direktoriju.

Pročitajte prvu korisnu pogrešku

«Nije moguće učitati CA datoteku» i «lanac certifikata nije pouzdan» različite su pogreške. Prva može nastati prije bilo kakve provjere. Druga može značiti da čitljiv paket sadrži pogrešno tijelo ili se primjenjuje na pogrešnu TLS vezu.

Nakon popravka pristupa ponovno testirajte iz konteksta servisa. Uspješna naredba u terminalu ostaje korisna usporedba, ali ne dokazuje koje datoteke servis vidi ni koju konfiguraciju povjerenja njegov klijent koristi.