En systemd-tjänst når proxyn men inte CA-filen

Du har installerat det godkända CA-paketet och begäran fungerar i terminalen. Tjänsten rapporterar fortfarande ett certifikatladdningsfel. Kontrollera om processen kan öppna samma fil innan du byter proxy-IP.

En tjänst kan köras som en annan Unix-användare, starta i en annan katalog eller se ett begränsat filsystem. En sökväg som är giltig för din inloggning är inte automatiskt giltig för tjänsten.

Börja med en absolut sökväg

Kontrollera sökvägen i den faktiska klienten. I curl väljer till exempel --cacert målets CA-paket; en HTTPS-proxy har separata proxy-CA-alternativ. Andra klienter använder egna konfigurationsnycklar eller miljövariabler.

Granska filen och katalogerna som leder till den:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

Det här är diagnostiska exempel, inga instruktioner att göra filen skrivbar för alla. Rätt att passera katalogerna är lika viktig som läsrättigheten för slutfilen.

Behörigheter är kanske inte hela problemet

Med ProtectHome=yes gör systemd de vanliga hemkatalogplatserna oåtkomliga för tjänsten. Att ändra certifikatfilens läge upphäver inte den namnrymdsbegränsningen. En konfigurerad rotkatalog kan också ändra vad en absolut sökväg avser inne i tjänsten.

Använd en lämplig plats för tjänstens konfiguration, till exempel en katalog under /etc avsedd för programmet, och ge bara den läsåtkomst som behövs. Uppdatera klientens CA-sökväg dit. Ta inte bort orelaterade filsystembegränsningar bara för att första kopian låg i din personliga hemkatalog.

Läs det första användbara felet

«Kan inte ladda CA-fil» och «certifikatkedjan är inte betrodd» är olika fel. Det första kan inträffa innan klienten kan verifiera något. Det andra kan betyda att det läsbara paketet innehåller fel utfärdare eller används för fel TLS-anslutning.

Testa igen i tjänstens kontext efter att åtkomsten har rättats. Ett lyckat terminalkommando är fortfarande en användbar jämförelse, men bevisar inte vilka filer tjänsten ser eller vilken tillitskonfiguration klienten använder.