systemd сервис стиже до проксија, али не и до CA датотеке

Проверите приступ корисника сервиса датотекама и ограничења systemd-а када подешавање прокси сертификата ради само у интерактивној љусци.

Инсталирали сте одобрени CA пакет и захтев ради у терминалу. Сервис и даље пријављује грешку учитавања сертификата. Пре замене IP-а проксија проверите да ли тај процес може да отвори исту датотеку.

Сервис може да ради као други Unix корисник, почне у другом директоријуму или види ограничен систем датотека. Путања која важи за вашу пријаву не важи аутоматски за њега.

Почните апсолутном путањом

Проверите путању подешену у стварном клијенту. У curl-у, на пример, --cacert бира CA пакет одредишта; HTTPS прокси има засебне прокси CA опције. Други клијенти користе сопствене конфигурационе кључеве или променљиве окружења.

Проверите датотеку и директоријуме који воде до ње:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

То су дијагностички примери, а не упутства да датотеку учините уписивом свима. Права проласка кроз директоријуме важна су као и читање крајње датотеке.

Дозволе можда нису цео проблем

Са ProtectHome=yes systemd чини стандардне локације личних директоријума недоступним сервису. Промена режима датотеке сертификата не уклања ограничење простора имена. Подешен коренски директоријум такође може да промени на шта апсолутна путања упућује у сервису.

Користите прикладно место конфигурације сервиса, рецимо директоријум под /etc намењен апликацији, и доделите само потребан приступ читању. Ажурирајте CA путању клијента. Не уклањајте неповезана ограничења система датотека само зато што је прва копија била у вашем личном директоријуму.

Прочитајте прву корисну грешку

«Није могуће учитати CA датотеку» и «ланац сертификата није поуздан» су различите грешке. Прва може да настане пре било какве провере. Друга може да значи да читљив пакет садржи погрешно сертификационо тело или се примењује на погрешну TLS везу.

После исправке приступа поново тестирајте из контекста сервиса. Успешна команда у терминалу остаје корисно поређење, али не доказује које датотеке сервис види нити коју конфигурацију поверења његов клијент користи.

Повезани чланци