systemd үйлчилгээ проксид хүрдэг ч CA файлаа уншиж чаддаггүй

Зөвшөөрсөн CA багцыг суулгаж, хүсэлт терминалд ажиллаж байна. Гэвч үйлчилгээ сертификат ачаалах алдаа мэдээлсээр. Прокси IP солихоос өмнө процесс тэр файлыг нээж чадах эсэхийг шалга.

Үйлчилгээ өөр Unix хэрэглэгчээр ажиллаж, өөр хавтсаас эхэлж, эсвэл хязгаарлагдсан файлын систем харж болно. Таны нэвтрэлтэд зөв зам түүнд автоматаар зөв биш.

Үнэмлэхүй замаас эхэл

Бодит клиентэд тохируулсан замыг шалга. Жишээлбэл curl-ийн --cacert зорилтот CA багцыг сонгоно; HTTPS проксид тусдаа прокси CA сонголтууд бий. Бусад клиент өөрийн тохиргооны түлхүүр эсвэл орчны хувьсагч ашигладаг.

Файл болон түүнд хүрэх хавтаснуудыг хоёуланг шалга:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Эдгээр нь оношлох жишээ болохоос файлыг хүн бүр бичих эрхтэй болгох заавар биш. Хавтсаар нэвтрэх эрх эцсийн файлыг унших эрхтэй адил чухал.

Асуудал зөвхөн эрх биш байж болно

ProtectHome=yes үед systemd ердийн гэр хавтасны байршлуудыг үйлчилгээнд нэвтрэх боломжгүй болгоно. Сертификатын файлын горим өөрчлөх нь нэрийн орон зайн хязгаарыг арилгахгүй. Тохируулсан язгуур хавтас нь үйлчилгээ дотор үнэмлэхүй зам юуг заахыг ч өөрчилж болно.

Програмд зориулсан /etc доорх хавтас зэрэг тохирох үйлчилгээний тохиргооны байршил ашиглаж, шаардлагатай унших эрх л өг. Клиентийн CA замыг шинэчил. Анхны хуулбар хувийн гэр хавтаст байсан гээд хамааралгүй файлын хязгаарлалтыг бүү арилга.

Эхний хэрэгтэй алдааг унш

«CA файл ачаалж чадахгүй» ба «сертификатын гинжид итгэхгүй» нь өөр алдаанууд. Эхнийх нь ямар ч шалгалтаас өмнө гарч болно. Хоёр дахь нь уншигдах багц буруу баталгаажуулагчтай эсвэл буруу TLS холболтод хэрэглэгдэж буйг илтгэж болно.

Хандалтыг зассаны дараа үйлчилгээний орчноос дахин шалга. Амжилттай терминалын команд хэрэгтэй харьцуулалт хэвээр ч үйлчилгээ ямар файл хардаг эсвэл клиент ямар итгэлийн тохиргоо ашигладгийг нотлохгүй.