Un serviciu systemd ajunge la proxy, dar nu la fișierul CA

Ai instalat pachetul CA aprobat și cererea merge în terminal. Serviciul raportează în continuare o eroare de încărcare a certificatului. Înainte să schimbi IP-ul proxy-ului, verifică dacă procesul poate deschide același fișier.

Un serviciu poate rula ca alt utilizator Unix, porni în alt director sau vedea un sistem de fișiere restrâns. O cale validă pentru sesiunea ta nu este automat validă pentru el.

Începe cu o cale absolută

Verifică calea configurată în clientul real. În curl, de exemplu, --cacert selectează pachetul CA al destinației; un proxy HTTPS are opțiuni CA de proxy separate. Alți clienți folosesc propriile chei de configurare sau variabile de mediu.

Inspectează fișierul și directoarele care duc la el:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Sunt exemple de diagnostic, nu instrucțiuni să faci fișierul inscriptibil de către oricine. Permisiunile de traversare a directoarelor contează la fel ca citirea fișierului final.

Permisiunile pot să nu fie întreaga problemă

Cu ProtectHome=yes, systemd face inaccesibile serviciului locațiile obișnuite ale directoarelor personale. Schimbarea modului fișierului de certificat nu elimină restricția spațiului de nume. Un director rădăcină configurat poate schimba și ținta unei căi absolute din serviciu.

Folosește un loc potrivit pentru configurația serviciului, cum ar fi un director sub /etc destinat aplicației, și acordă doar citirea necesară. Actualizează calea CA a clientului. Nu elimina alte restricții ale sistemului de fișiere doar fiindcă prima copie era în directorul tău personal.

Citește prima eroare utilă

«Nu se poate încărca fișierul CA» și «lanțul de certificate nu este de încredere» sunt erori diferite. Prima poate apărea înainte de orice verificare. A doua poate însemna că pachetul lizibil conține autoritatea greșită sau se aplică unei conexiuni TLS greșite.

După corectarea accesului, testează din nou în contextul serviciului. O comandă reușită în terminal rămâne o comparație utilă, dar nu dovedește ce fișiere vede serviciul sau ce configurație de încredere folosește clientul său.