אַ systemd־דינסט דערגרייכט דעם פּראָקסי, אָבער נישט זײַן CA־טעקע

איר האָט אינסטאַלירט דעם באַשטעטיקטן CA־פּעקל און דער אָנפֿרעג אַרבעט אין טערמינאַל. די דינסט מעלדט נאָך אַ טעות בײַם לאָדן דעם באַווייַז. איידער איר בײַט דעם פּראָקסי־IP, קאָנטראָלירט צי יענער פּראָצעס קען עפֿענען די זעלבע טעקע.

אַ דינסט קען לויפֿן ווי אַן אַנדערער Unix־ניצער, אָנהייבן אין אַן אַנדערן פֿאַרצייכעניש אָדער זען אַ באַגרענעצטע טעקעסיסטעם. אַ וועג וואָס גילט פֿאַר אײַער אַרײַנלאָגירן גילט נישט אַליין פֿאַר דער דינסט.

הייבט אָן מיט אַן אַבסאָלוטן וועג

קאָנטראָלירט דעם וועג וואָס איז אײַנגעשטעלט אינעם אמתן קליענט. אין curl, למשל, קלײַבט --cacert דעם צילס CA־פּעקל; אַן HTTPS־פּראָקסי האָט באַזונדערע פּראָקסי־CA־אָפּציעס. אַנדערע קליענטן ניצן אייגענע קאָנפֿיגוראַציע־שליסלען אָדער סבֿיבֿה־וואַריאַבלען.

קוקט די טעקע און די פֿאַרצייכענישן אויפֿן וועג צו איר:

namei -l /home/alex/certs/approved-ca.pem
systemctl show example.service -p User -p Group -p ProtectHome -p RootDirectory

דאָס זענען דיאַגנאָסטישע בײַשפּילן, נישט קיין הוראות צו מאַכן די טעקע שרײַבבאַר פֿאַר אַלעמען. דורכגאַנג־דערלויבענישן פֿון פֿאַרצייכענישן זענען וויכטיק פּונקט ווי די לייענדערלויבעניש פֿונעם לעצטן טעקע.

דערלויבענישן זענען אפֿשר נישט דער גאַנצער פּראָבלעם

מיט ProtectHome=yes מאַכט systemd די געוויינטלעכע היים־פֿאַרצייכעניש־ערטער נישט־צוטריטלעך פֿאַר דער דינסט. ענדערן דעם מאָדוס פֿון דער באַווייַז־טעקע הייבט נישט אויף די נאָמען־רוימס־באַגרענעצונג. אַ קאָנפֿיגורירטער וואָרצל־פֿאַרצייכעניש קען אויך ענדערן אויף וואָס אַן אַבסאָלוטער וועג ווײַזט אינעם דינסט.

ניצט אַ פּאַסיקן אָרט פֿאַר דינסט־אײַנשטעלונגען, למשל אַ פֿאַרצייכעניש אונטער /etc פֿאַר יענער אַפּליקאַציע, און גיט בלויז דעם נויטיקן לייענצוטריט. דערהײַנטיקט דעם CA־וועג פֿונעם קליענט. נעמט נישט אַוועק נישט־פֿאַרבונדענע טעקעסיסטעם־באַגרענעצונגען נאָר ווײַל דער ערשטער קאָפּיע איז געווען אין אײַער פּערזענלעכן היים־פֿאַרצייכעניש.

לייענט דעם ערשטן נוצלעכן טעות

«מען קען נישט לאָדן די CA־טעקע» און «די באַווייַזן־קייט איז נישט פֿאַרטרויט» זענען פֿאַרשידענע דורכפֿאַלן. דער ערשטער קען פּאַסירן איידער דער קליענט קען עפּעס באַשטעטיקן. דער צווייטער קען מיינען אַז דער לייענבאַרער פּעקל האָט די אומריכטיקע אויטאָריטעט אָדער ווערט געניצט פֿאַר דער אומריכטיקער TLS־פֿאַרבינדונג.

פּרוּווט ווידער פֿונעם דינסט־קאָנטעקסט נאָך פֿאַרריכטן צוטריט. אַ געלונגענער טערמינאַל־באַפֿעל בלײַבט אַ נוצלעכער פֿאַרגלײַך, אָבער באַווײַזט נישט וועלכע טעקעס די דינסט זעט אָדער וועלכע צוטרוי־קאָנפֿיגוראַציע איר קליענט ניצט.