Служба systemd достигает прокси, но не его CA-файла

Вы установили одобренный CA-набор, и запрос работает в терминале. Служба по-прежнему сообщает об ошибке загрузки сертификата. Прежде чем менять IP прокси, проверьте, может ли этот процесс открыть тот же файл.

Служба может работать от другого пользователя Unix, запускаться в другом каталоге или видеть ограниченную файловую систему. Путь, подходящий для вашего входа, не обязательно подходит ей.

Начните с абсолютного пути

Проверьте путь в фактическом клиенте. Например, в curl --cacert выбирает CA-набор назначения; для HTTPS-прокси есть отдельные опции CA прокси. Другие клиенты используют собственные ключи конфигурации или переменные окружения.

Изучите и файл, и каталоги на пути к нему:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Это диагностические примеры, а не указание открыть файл на запись всем. Права прохода по каталогам важны не меньше, чем право чтения конечного файла.

Одними разрешениями проблема может не ограничиваться

С ProtectHome=yes systemd делает стандартные расположения домашних каталогов недоступными службе. Изменение режима файла сертификата не снимает ограничение пространства имён. Настроенный корневой каталог тоже может изменить значение абсолютного пути внутри службы.

Используйте подходящее место для конфигурации службы, например предназначенный приложению каталог под /etc, и дайте только необходимые права чтения. Обновите CA-путь клиента. Не убирайте посторонние ограничения файловой системы лишь потому, что первая копия лежала в вашем домашнем каталоге.

Читайте первую полезную ошибку

«Не удаётся загрузить CA-файл» и «цепочка сертификатов не доверенная» — разные сбои. Первый может случиться до любой проверки. Второй может означать, что читаемый набор содержит не тот центр сертификации или применяется не к тому TLS-соединению.

После исправления доступа повторите проверку из контекста службы. Успешная команда в терминале остаётся полезным сравнением, но не доказывает, какие файлы видит служба и какую конфигурацию доверия использует её клиент.