A systemd-szolgáltatás eléri a proxyt, de a CA-fájlt nem

Telepítetted a jóváhagyott CA-csomagot, és a kérés működik a terminálban. A szolgáltatás továbbra is tanúsítványbetöltési hibát jelez. A proxy-IP cseréje előtt ellenőrizd, hogy a folyamat meg tudja-e nyitni ugyanazt a fájlt.

A szolgáltatás futhat más Unix-felhasználóként, indulhat más könyvtárból, vagy korlátozott fájlrendszert láthat. A bejelentkezésed számára érvényes útvonal nem automatikusan érvényes számára.

Kezdd abszolút útvonallal

Ellenőrizd a tényleges kliensben megadott útvonalat. A curl --cacert kapcsolója például a cél CA-csomagját választja ki; a HTTPS-proxyhoz külön proxy-CA-kapcsolók tartoznak. Más kliensek saját konfigurációs kulcsot vagy környezeti változót használnak.

Vizsgáld meg a fájlt és a hozzá vezető könyvtárakat:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Ezek diagnosztikai példák, nem arra utasítanak, hogy mindenki írhassa a fájlt. A könyvtárakon való áthaladás joga éppúgy számít, mint a végső fájl olvashatósága.

Lehet, hogy nem csak a jogosultság a gond

ProtectHome=yes esetén a systemd elérhetetlenné teszi a szabványos sajátkönyvtár-helyeket a szolgáltatásnak. A tanúsítványfájl módjának átállítása nem oldja fel a névtérkorlátozást. Egy beállított gyökérkönyvtár is megváltoztathatja, mire mutat az abszolút útvonal a szolgáltatáson belül.

Használj a szolgáltatás beállításaihoz illő helyet, például az alkalmazásnak szánt könyvtárat az /etc alatt, és csak a szükséges olvasási jogot add meg. Frissítsd oda a kliens CA-útvonalát. Ne bonts le más fájlrendszer-korlátokat pusztán azért, mert az első másolat a személyes sajátkönyvtáradban volt.

Olvasd el az első hasznos hibát

A «CA-fájl nem tölthető be» és a «tanúsítványlánc nem megbízható» eltérő hiba. Az első bármilyen ellenőrzés előtt jelentkezhet. A második azt jelezheti, hogy az olvasható csomag rossz hitelesítőt tartalmaz vagy rossz TLS-kapcsolatra alkalmazzák.

A hozzáférés javítása után tesztelj újra a szolgáltatás környezetéből. A sikeres terminálparancs továbbra is hasznos összehasonlítás, de nem bizonyítja, milyen fájlokat lát a szolgáltatás vagy milyen bizalmi beállítást használ a kliense.