Услугата systemd стигнува до проксито, но не и до CA датотеката

Го инсталиравте одобрениот CA пакет и барањето работи во терминалот. Услугата сè уште пријавува грешка при вчитување сертификат. Пред да ја смените IP адресата на проксито, проверете дали процесот може да ја отвори истата датотека.

Услуга може да работи како друг Unix корисник, да почне во друг директориум или да гледа ограничен датотечен систем. Патека важечка за вашата најава не е автоматски важечка за неа.

Почнете со апсолутна патека

Проверете ја патеката поставена во вистинскиот клиент. Во curl, на пример, --cacert го избира CA пакетот на целта; HTTPS прокси има одделни CA опции за прокси. Други клиенти користат свои конфигурациски клучеви или променливи на околината.

Проверете ги датотеката и директориумите што водат до неа:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Ова се дијагностички примери, не упатства датотеката да биде запишлива за сите. Дозволите за минување низ директориуми се важни исто колку читањето на крајната датотека.

Дозволите можеби не се целиот проблем

Со ProtectHome=yes systemd ги прави стандардните места на домашни директориуми недостапни за услугата. Промена на режимот на сертификатната датотека не го отстранува ограничувањето на именскиот простор. Поставен коренски директориум може да смени и на што покажува апсолутната патека во услугата.

Користете соодветна локација за конфигурација на услугата, како директориум под /etc наменет за апликацијата, и дајте само потребно читање. Ажурирајте ја CA патеката на клиентот. Не отстранувајте неповрзани ограничувања на датотечниот систем само затоа што првата копија била во вашиот личен домашен директориум.

Прочитајте ја првата корисна грешка

«Не може да се вчита CA датотеката» и «синџирот сертификати не е доверлив» се различни грешки. Првата може да се појави пред каква било проверка. Втората може да значи дека читливиот пакет содржи погрешен издавач или се применува на погрешна TLS врска.

По исправката на пристапот тестирајте пак од контекстот на услугата. Успешна терминална команда останува корисна споредба, но не докажува кои датотеки услугата ги гледа или која конфигурација за доверба ја користи нејзиниот клиент.