Perkhidmatan systemd mencapai proksi tetapi bukan fail CA-nya

Anda telah memasang berkas CA yang diluluskan dan permintaan berfungsi dalam terminal. Perkhidmatan masih melaporkan ralat pemuatan sijil. Sebelum menggantikan IP proksi, periksa sama ada proses itu boleh membuka fail yang sama.

Perkhidmatan boleh berjalan sebagai pengguna Unix lain, bermula dalam direktori berlainan atau melihat sistem fail yang dihadkan. Laluan yang sah untuk log masuk anda tidak semestinya sah baginya.

Mulakan dengan laluan mutlak

Semak laluan yang ditetapkan dalam klien sebenar. Dalam curl, contohnya, --cacert memilih berkas CA destinasi; proksi HTTPS mempunyai pilihan CA proksi berasingan. Klien lain menggunakan kunci konfigurasi atau pemboleh ubah persekitaran sendiri.

Periksa fail dan direktori yang dilalui untuk mencapainya:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Ini contoh diagnostik, bukan arahan untuk menjadikan fail boleh ditulis oleh semua orang. Kebenaran merentas direktori sama pentingnya dengan kebenaran membaca fail akhir.

Kebenaran mungkin bukan keseluruhan masalah

Dengan ProtectHome=yes, systemd menjadikan lokasi direktori rumah standard tidak boleh dicapai oleh perkhidmatan itu. Mengubah mod fail sijil tidak membatalkan sekatan ruang nama. Direktori akar yang dikonfigurasi juga boleh mengubah rujukan laluan mutlak dalam perkhidmatan.

Gunakan lokasi konfigurasi perkhidmatan yang sesuai, seperti direktori di bawah /etc untuk aplikasi itu, dan beri akses baca yang diperlukan sahaja. Kemas kini laluan CA klien ke situ. Jangan buang sekatan sistem fail yang tidak berkaitan hanya kerana salinan pertama berada dalam direktori rumah peribadi.

Baca ralat pertama yang berguna

«Tidak dapat memuatkan fail CA» dan «rantaian sijil tidak dipercayai» ialah kegagalan berbeza. Yang pertama boleh berlaku sebelum klien mengesahkan apa-apa. Yang kedua boleh bermakna berkas yang boleh dibaca mengandungi pihak berkuasa yang salah atau digunakan pada sambungan TLS yang salah.

Uji semula dalam konteks perkhidmatan selepas membetulkan akses. Arahan terminal yang berjaya masih perbandingan berguna, tetapi tidak membuktikan fail yang dilihat perkhidmatan atau konfigurasi kepercayaan yang digunakan kliennya.