Servizz systemd jilħaq il-proxy iżda mhux il-fajl CA tiegħu

Installajt il-ġabra CA approvata u t-talba taħdem fit-terminal. Is-servizz għadu jirrapporta żball fit-tagħbija taċ-ċertifikat. Qabel tibdel l-IP tal-proxy, ara jekk dak il-proċess jistax jiftaħ l-istess fajl.

Servizz jista’ jaħdem bħala utent Unix ieħor, jibda f’direttorju differenti jew jara sistema ta’ fajls ristretta. Mogħdija valida għal-login tiegħek mhijiex awtomatikament valida għalih.

Ibda b’mogħdija assoluta

Iċċekkja l-mogħdija kkonfigurata fil-klijent reali. F’curl, pereżempju, --cacert jagħżel il-ġabra CA tad-destinazzjoni; proxy HTTPS għandu għażliet CA tal-proxy separati. Klijenti oħra jużaw ċwievet ta’ konfigurazzjoni jew varjabbli tal-ambjent tagħhom stess.

Spezzjona l-fajl u d-direttorji li jwasslu għalih:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Dawn huma eżempji dijanjostiċi, mhux istruzzjonijiet biex il-fajl ikun jista’ jinkiteb minn kulħadd. Il-permessi biex tgħaddi mid-direttorji huma importanti daqs il-permess tal-qari tal-fajl finali.

Il-permessi jistgħu ma jkunux il-problema kollha

B’ProtectHome=yes, systemd jagħmel il-postijiet standard tad-direttorji tad-dar inaċċessibbli għas-servizz. Tibdil fil-mod tal-fajl taċ-ċertifikat ma jneħħix ir-restrizzjoni tal-namespace. Direttorju għerq ikkonfigurat jista’ wkoll ibiddel għal xiex tirreferi mogħdija assoluta ġewwa s-servizz.

Uża post adattat għall-konfigurazzjoni tas-servizz, bħal direttorju taħt /etc maħsub għall-applikazzjoni, u agħti biss l-aċċess tal-qari meħtieġ. Aġġorna l-mogħdija CA tal-klijent. Tneħħix restrizzjonijiet tal-fajls mhux relatati sempliċement għax l-ewwel kopja kienet fid-direttorju tad-dar personali tiegħek.

Aqra l-ewwel żball utli

«Ma jistax jitgħabba l-fajl CA» u «l-katina taċ-ċertifikati mhijiex fdata» huma żbalji differenti. L-ewwel jista’ jiġri qabel kull verifika. It-tieni jista’ jfisser li l-ġabra li tinqara fiha awtorità ħażina jew qed tiġi applikata għal konnessjoni TLS ħażina.

Erġa’ ttestja mill-kuntest tas-servizz wara li tirranġa l-aċċess. Kmand tat-terminal b’suċċess għadu paragun utli, iżda ma jipprovax liema fajls jara s-servizz jew liema konfigurazzjoni ta’ fiduċja juża l-klijent tiegħu.