systemd servis stiže do proksija, ali ne i do CA datoteke

Instalirali ste odobreni CA paket i zahtjev radi u terminalu. Servis i dalje prijavljuje grešku učitavanja certifikata. Prije zamjene IP-ja proksija provjerite može li taj proces otvoriti istu datoteku.

Servis može raditi kao drugi Unix korisnik, početi u drugom direktoriju ili vidjeti ograničen sistem datoteka. Putanja koja važi za vašu prijavu ne važi automatski za njega.

Počnite apsolutnom putanjom

Provjerite putanju podešenu u stvarnom klijentu. U curlu, na primjer, --cacert bira CA paket odredišta; HTTPS proksi ima zasebne proksi CA opcije. Drugi klijenti koriste vlastite konfiguracijske ključeve ili promjenljive okruženja.

Provjerite datoteku i direktorije koji vode do nje:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

To su dijagnostički primjeri, a ne upute da datoteku učinite upisivom svima. Prava prolaska kroz direktorije važna su kao i čitanje krajnje datoteke.

Dozvole možda nisu cijeli problem

S ProtectHome=yes systemd čini standardne lokacije ličnih direktorija nedostupnim servisu. Promjena režima datoteke certifikata ne uklanja ograničenje prostora imena. Podešen korijenski direktorij također može promijeniti na šta apsolutna putanja upućuje u servisu.

Koristite prikladno mjesto konfiguracije servisa, recimo direktorij pod /etc namijenjen aplikaciji, i dodijelite samo potreban pristup čitanju. Ažurirajte CA putanju klijenta. Ne uklanjajte nepovezana ograničenja sistema datoteka samo zato što je prva kopija bila u vašem ličnom direktoriju.

Pročitajte prvu korisnu grešku

«Nije moguće učitati CA datoteku» i «lanac certifikata nije pouzdan» različite su greške. Prva može nastati prije bilo kakve provjere. Druga može značiti da čitljiv paket sadrži pogrešno certifikacijsko tijelo ili se primjenjuje na pogrešnu TLS vezu.

Poslije ispravke pristupa ponovo testirajte iz konteksta servisa. Uspješna naredba u terminalu ostaje korisno poređenje, ali ne dokazuje koje datoteke servis vidi ni koju konfiguraciju povjerenja njegov klijent koristi.