Usługa systemd dociera do proxy, ale nie do pliku CA

Zatwierdzony pakiet CA jest zainstalowany i żądanie działa w terminalu. Usługa nadal zgłasza błąd ładowania certyfikatu. Przed zmianą IP proxy sprawdź, czy ten proces może otworzyć ten sam plik.

Usługa może działać jako inny użytkownik Unix, startować w innym katalogu lub widzieć ograniczony system plików. Ścieżka poprawna dla twojego logowania nie jest automatycznie poprawna dla niej.

Zacznij od ścieżki bezwzględnej

Sprawdź ścieżkę ustawioną w rzeczywistym kliencie. W curl na przykład --cacert wybiera pakiet CA celu; proxy HTTPS ma osobne opcje CA proxy. Inne klienty używają własnych kluczy konfiguracji lub zmiennych środowiskowych.

Zbadaj plik i katalogi prowadzące do niego:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

To przykłady diagnostyczne, a nie polecenie nadania wszystkim prawa zapisu. Prawa przechodzenia przez katalogi są równie ważne jak odczyt końcowego pliku.

Uprawnienia mogą nie być całym problemem

Przy ProtectHome=yes systemd czyni standardowe lokalizacje katalogów domowych niedostępnymi dla usługi. Zmiana trybu pliku certyfikatu nie usuwa ograniczenia przestrzeni nazw. Skonfigurowany katalog główny też może zmienić to, na co wskazuje ścieżka bezwzględna wewnątrz usługi.

Użyj odpowiedniej lokalizacji konfiguracji usługi, np. katalogu pod /etc przeznaczonego dla aplikacji, i przyznaj tylko wymagany odczyt. Zaktualizuj ścieżkę CA klienta. Nie usuwaj niezwiązanych ograniczeń systemu plików tylko dlatego, że pierwsza kopia leżała w twoim katalogu domowym.

Przeczytaj pierwszy użyteczny błąd

«Nie można załadować pliku CA» i «łańcuch certyfikatów nie jest zaufany» to różne awarie. Pierwsza może wystąpić przed jakąkolwiek weryfikacją. Druga może znaczyć, że czytelny pakiet zawiera niewłaściwy urząd lub jest stosowany do złego połączenia TLS.

Po naprawie dostępu przetestuj ponownie w kontekście usługi. Udane polecenie terminala pozostaje użytecznym porównaniem, ale nie dowodzi, jakie pliki widzi usługa ani jakiej konfiguracji zaufania używa jej klient.