systemd serviss sasniedz starpniekserveri, bet ne CA failu

Jūs instalējāt apstiprināto CA pakotni un pieprasījums darbojas terminālī. Serviss vēl ziņo par sertifikāta ielādes kļūdu. Pirms starpniekservera IP maiņas pārbaudiet, vai process var atvērt to pašu failu.

Serviss var darboties kā cits Unix lietotājs, sākt citā direktorijā vai redzēt ierobežotu failu sistēmu. Jūsu pieteikšanās sesijai derīgs ceļš nav automātiski derīgs tam.

Sāciet ar absolūtu ceļu

Pārbaudiet faktiskajā klientā iestatīto ceļu. Piemēram, curl --cacert izvēlas galamērķa CA pakotni; HTTPS starpniekserverim ir atsevišķas starpniekservera CA opcijas. Citi klienti izmanto savas konfigurācijas atslēgas vai vides mainīgos.

Pārbaudiet failu un direktorijus ceļā uz to:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Tie ir diagnostikas piemēri, nevis norādījumi padarīt failu rakstāmu visiem. Direktoriju šķērsošanas atļaujas ir tikpat svarīgas kā gala faila lasīšana.

Atļaujas var nebūt visa problēma

Ar ProtectHome=yes systemd padara standarta mājas direktoriju atrašanās vietas servisam nepieejamas. Sertifikāta faila režīma maiņa neatceļ šo nosaukumvietas ierobežojumu. Konfigurēts saknes direktorijs var arī mainīt, uz ko absolūts ceļš norāda servisa iekšienē.

Izmantojiet piemērotu servisa konfigurācijas vietu, piemēram, lietotnei paredzētu direktoriju zem /etc, un dodiet tikai nepieciešamo lasīšanu. Atjauniniet klienta CA ceļu. Neatceliet nesaistītus failu sistēmas ierobežojumus tikai tāpēc, ka pirmā kopija bija jūsu personīgajā mājas direktorijā.

Lasiet pirmo noderīgo kļūdu

«Nevar ielādēt CA failu» un «sertifikātu ķēde nav uzticama» ir dažādas kļūmes. Pirmā var rasties pirms jebkādas pārbaudes. Otrā var nozīmēt, ka lasāmajā pakotnē ir nepareiza iestāde vai tā tiek piemērota nepareizam TLS savienojumam.

Pēc piekļuves labošanas testējiet atkal servisa kontekstā. Veiksmīga termināļa komanda joprojām ir noderīgs salīdzinājums, bet nepierāda, kurus failus serviss redz vai kādu uzticamības konfigurāciju klients izmanto.