Ei systemd-teneste når proxyen, men ikkje CA-fila

Du har installert den godkjende CA-pakken, og førespurnaden verkar i terminalen. Tenesta melder framleis feil ved innlasting av sertifikatet. Kontroller om prosessen kan opne den same fila før du byter proxy-IP.

Ei teneste kan køyre som ein annan Unix-brukar, starte i ei anna mappe eller sjå eit avgrensa filsystem. Ein stig som er gyldig for innlogginga di, er ikkje automatisk gyldig for tenesta.

Byrj med ein absolutt stig

Kontroller stigen som er sett i den faktiske klienten. I curl vel til dømes --cacert CA-pakken til målet; ein HTTPS-proxy har separate proxy-CA-alternativ. Andre klientar brukar eigne konfigurasjonsnøklar eller miljøvariablar.

Undersøk fila og mappene på vegen til henne:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Dette er diagnosedøme, ikkje instruksjonar om å gjere fila skrivbar for alle. Løyve til å passere mapper er like viktig som lesetilgang til den endelege fila.

Rettar er kanskje ikkje heile problemet

Med ProtectHome=yes gjer systemd dei vanlege heimemappeplasseringane utilgjengelege for tenesta. Å endre modusen til sertifikatfila opphevar ikkje denne namneromsgrensa. Ei konfigurert rotmappe kan òg endre kva ein absolutt stig viser til inne i tenesta.

Bruk ein eigna stad for tenestekonfigurasjon, som ei mappe under /etc laga for programmet, og gje berre naudsynt lesetilgang. Oppdater CA-stigen til klienten dit. Ikkje fjern uvedkomande filsystemgrenser berre fordi den første kopien låg i den personlege heimemappa di.

Les den første nyttige feilen

«Kan ikkje laste CA-fil» og «sertifikatkjeda er ikkje tiltrudd» er ulike feil. Den første kan oppstå før klienten kan verifisere noko. Den andre kan tyde at den lesbare pakken inneheld feil utferdar eller vert brukt på feil TLS-samband.

Test på nytt frå konteksten til tenesta etter at tilgangen er retta. Ein vellukka terminalkommando er framleis ei nyttig samanlikning, men beviser ikkje kva filer tenesta ser, eller kva tillitskonfigurasjon klienten brukar.