systemd ծառայությունը հասնում է պրոքսիին, բայց ոչ CA ֆայլին

Տեղադրել եք հաստատված CA փաթեթը, և հարցումն աշխատում է տերմինալում։ Ծառայությունը դեռ հաղորդում է սերտիֆիկատի բեռնման սխալ։ Պրոքսիի IP-ն փոխելուց առաջ ստուգեք՝ արդյոք գործընթացը կարող է բացել նույն ֆայլը։

Ծառայությունը կարող է աշխատել այլ Unix օգտվողով, սկսվել այլ պանակից կամ տեսնել սահմանափակ ֆայլային համակարգ։ Ձեր մուտքի համար վավեր ուղին ինքնաբերաբար վավեր չէ դրա համար։

Սկսեք բացարձակ ուղուց

Ստուգեք իրական հաճախորդում կարգավորված ուղին։ Օրինակ՝ curl-ի --cacert-ը ընտրում է նպատակակետի CA փաթեթը, իսկ HTTPS պրոքսին ունի պրոքսիի առանձին CA ընտրանքներ։ Մյուս հաճախորդները գործածում են իրենց կարգավորման բանալիները կամ միջավայրային փոփոխականները։

Ուսումնասիրեք ֆայլը և դրան տանող պանակները․

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Սրանք ախտորոշիչ օրինակներ են, ոչ թե բոլորին գրելու իրավունք տալու հրահանգներ։ Պանակներով անցնելու իրավունքները նույնքան կարևոր են, որքան վերջին ֆայլի ընթերցումը։

Խնդիրը կարող է միայն իրավունքները չլինել

ProtectHome=yes-ի դեպքում systemd-ը ծառայության համար անհասանելի է դարձնում տնային պանակների սովորական վայրերը։ Սերտիֆիկատի ֆայլի ռեժիմը փոխելը չի վերացնում անունների տարածքի սահմանափակումը։ Կարգավորված արմատային պանակը նույնպես կարող է փոխել՝ ինչին է հղվում բացարձակ ուղին ծառայության ներսում։

Օգտագործեք ծառայության կարգավորումների համար հարմար վայր, օրինակ՝ հավելվածին նախատեսված պանակ /etc-ի տակ, և տվեք միայն անհրաժեշտ ընթերցման իրավունք։ Թարմացրեք հաճախորդի CA ուղին։ Մի հեռացրեք չառնչվող ֆայլային սահմանափակումները միայն այն պատճառով, որ առաջին պատճենը ձեր անձնական տնային պանակում էր։

Կարդացեք առաջին օգտակար սխալը

«Չի հաջողվում բեռնել CA ֆայլը» և «սերտիֆիկատների շղթան վստահելի չէ» տարբեր խափանումներ են։ Առաջինը կարող է լինել որևէ ստուգումից առաջ։ Երկրորդը կարող է նշանակել, որ ընթեռնելի փաթեթում սխալ հավաստագրող մարմին կա կամ այն կիրառվում է սխալ TLS կապի համար։

Հասանելիությունը շտկելուց հետո կրկին փորձարկեք ծառայության միջավայրից։ Տերմինալի հաջող հրամանը մնում է օգտակար համեմատություն, բայց չի ապացուցում՝ ինչ ֆայլեր է տեսնում ծառայությունը կամ վստահության որ կարգավորումն է օգտագործում հաճախորդը։