Layanan systemd menjangkau proxy, tetapi tidak berkas CA-nya

Anda sudah memasang bundel CA yang disetujui dan permintaan berfungsi di terminal. Layanan masih melaporkan kesalahan pemuatan sertifikat. Sebelum mengganti IP proxy, periksa apakah proses itu bisa membuka berkas yang sama.

Layanan bisa berjalan sebagai pengguna Unix lain, mulai dari direktori berbeda, atau melihat sistem berkas yang dibatasi. Jalur yang berlaku untuk login Anda tidak otomatis berlaku baginya.

Mulai dengan jalur absolut

Periksa jalur yang diatur di klien sebenarnya. Dalam curl, misalnya, --cacert memilih bundel CA tujuan; proxy HTTPS memiliki opsi CA proxy tersendiri. Klien lain memakai kunci konfigurasi atau variabel lingkungannya sendiri.

Periksa berkas dan direktori yang dilalui untuk mencapainya:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Ini contoh diagnostik, bukan instruksi agar semua orang bisa menulis berkas. Izin melintasi direktori sama pentingnya dengan izin membaca berkas akhir.

Izin mungkin bukan seluruh masalahnya

Dengan ProtectHome=yes, systemd membuat lokasi direktori home standar tidak dapat diakses layanan tersebut. Mengubah mode berkas sertifikat tidak menghapus pembatasan namespace. Direktori akar yang dikonfigurasi juga bisa mengubah apa yang dirujuk jalur absolut di dalam layanan.

Gunakan lokasi konfigurasi layanan yang sesuai, seperti direktori di bawah /etc yang ditujukan untuk aplikasi, dan berikan hanya akses baca yang diperlukan. Perbarui jalur CA klien ke lokasi itu. Jangan hapus pembatasan sistem berkas yang tidak berkaitan hanya karena salinan pertama disimpan di direktori home pribadi.

Baca kesalahan pertama yang berguna

«Tidak bisa memuat berkas CA» dan «rantai sertifikat tidak dipercaya» adalah kegagalan berbeda. Yang pertama bisa terjadi sebelum klien memverifikasi apa pun. Yang kedua bisa berarti bundel yang terbaca berisi otoritas yang salah atau diterapkan pada koneksi TLS yang salah.

Uji ulang dari konteks layanan setelah akses diperbaiki. Perintah terminal yang berhasil tetap menjadi pembanding berguna, tetapi tidak membuktikan berkas mana yang dilihat layanan atau konfigurasi kepercayaan yang dipakai kliennya.