systemd-þjónusta nær proxy en ekki CA-skránni

Þú hefur sett inn samþykkt CA-safn og beiðnin virkar í skjáhermi. Þjónustan tilkynnir enn villu við hleðslu vottorðs. Athugaðu hvort ferlið geti opnað sömu skrá áður en þú skiptir um proxy-IP.

Þjónusta getur keyrt sem annar Unix-notandi, byrjað í annarri möppu eða séð takmarkað skráakerfi. Slóð sem gildir fyrir innskráninguna þína gildir ekki sjálfkrafa fyrir þjónustuna.

Byrjaðu á algildri slóð

Athugaðu slóðina sem er stillt í raunverulega biðlaranum. Til dæmis velur --cacert í curl CA-safn áfangastaðarins; HTTPS-proxy hefur aðskilda proxy-CA-valkosti. Aðrir biðlarar nota eigin stillingalykla eða umhverfisbreytur.

Skoðaðu bæði skrána og möppurnar á leiðinni að henni:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Þetta eru greiningardæmi en ekki fyrirmæli um að gera skrána skrifanlega fyrir alla. Ferðaleyfi um möppur skipta máli ekki síður en lesheimild á lokaskránni.

Heimildir eru kannski ekki allt vandamálið

Með ProtectHome=yes gerir systemd hefðbundnar heimamöppuslóðir óaðgengilegar þjónustunni. Breyting á aðgangsham vottorðsskrárinnar afnemur ekki þá nafnarýmistakmörkun. Stillt rótarmappa getur líka breytt því sem algild slóð vísar á innan þjónustunnar.

Notaðu viðeigandi stað fyrir þjónustustillingar, svo sem möppu undir /etc sem er ætluð forritinu, og veittu aðeins nauðsynlegan lesaðgang. Uppfærðu CA-slóð biðlarans þangað. Ekki fjarlægja óskyldar skráakerfistakmarkanir bara vegna þess að fyrsta afritið var í persónulegri heimamöppu þinni.

Lestu fyrstu gagnlegu villuna

«Get ekki hlaðið CA-skrá» og «vottorðakeðjan er ekki traust» eru ólíkar villur. Sú fyrri getur komið áður en biðlarinn getur sannprófað nokkuð. Sú síðari getur merkt að læsilegt safn innihaldi ranga útgáfustofnun eða sé notað á ranga TLS-tengingu.

Prófaðu aftur úr samhengi þjónustunnar eftir að aðgangur er lagaður. Heppnuð skipun í skjáhermi er enn gagnlegur samanburður en sannar ekki hvaða skrár þjónustan sér eða hvaða traustsstillingar biðlarinn notar.