Tôi đã thiết lập Puppet Master / Agent và đã ký thành công chứng chỉ cho đại lý trên master. Tuy nhiên, khi tôi chạy, puppet agent --testtôi gặp một lỗi như thế này:
Warning: Unable to fetch my node definition, but the agent run will continue:
Warning: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]
Info: Retrieving plugin
Error: /File[/var/lib/puppet/lib]: Failed to generate additional resources using 'eval_generate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]
Error: /File[/var/lib/puppet/lib]: Could not evaluate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com] Could not retrieve file metadata for puppet://hostname.domain.com/plugins: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]
Error: Could not retrieve catalog from remote server: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]
Warning: Not using cache on failed catalog
Error: Could not retrieve catalog; skipping run
Error: Could not send report: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]
chủ hostname.domain.comlà
Làm thế nào để tôi sửa lỗi này? Tôi đã chắc chắn rằng cả hai đồng hồ đều ở đúng thời điểm trong cùng múi giờ, tôi đã xóa mọi thứ trong /var/lib/puppet/sslthư mục đại lý và đã từ chức, tôi không biết phải làm gì khác.
Chủ của bạn dường như đang sử dụng một chứng chỉ khác với niềm tin của khách hàng? Chứng chỉ thạc sĩ đã thay đổi?
—
Shane Madden
@ShaneMadden Tôi không nghĩ vậy ... tôi có nên dọn dẹp và thu hồi các chứng chỉ thạc sĩ và khách hàng không? Tôi hoàn toàn không gặp rắc rối với các chứng chỉ thạc sĩ, nhưng đây là đầu ra của "danh sách chứng nhận con rối --all" trông như thế nào: + "masterhost.domain.com" (SHA1) E1: F7: 6A: 21: CB: CD: xx: xx: xx: xx ... + "agenthost.domain.com" (SHA256) 5A: D9: 7B: 96: 0B: FF: E4: 87: 58: AF: 00: xx: xx: xx : xx ..
—
John Smith
Và đó
—
Shane Madden
masterhost.domain.comlà một hostname.domain.comtrong những câu hỏi của bạn, phải không? Hãy thử điều này, chúng tôi sẽ xem các chứng chỉ xác minh bằng tay; chạy openssl s_client -connect masterhost.domain.com:8140 -showcertsvà sao chép dữ liệu chứng chỉ (bắt đầu bằng -----BEGIN CERTIFICATE-----, bao gồm dòng đó và dòng chứng chỉ cuối) vào một tệp mới, sau đó chạy openssl verify -CAfile /var/lib/puppet/ssl/certs/ca.pem /path/to/file/from/last/commandvà xem nếu nó xác minh.
@ShaneMadden Có vẻ như có gì đó không ổn .... Khi tôi chạy lệnh "-showcerts", nó đã cho tôi hai chứng chỉ "bắt đầu" và "kết thúc", vì vậy tôi đã thử trước tiên thêm một trong số đó vào một tệp mới và nhận được này: / var / lib / Puppet / ssl / ca / test: /CN=masterhost.domain.com lỗi 7 ở 0 độ sâu tra cứu: lỗi chữ ký chứng chỉ 22297: error: 0407006A: rsa thường trình: RSA_padding_check_PKCS1_type_1: loại khối không phải là 01: rsa_pk1.c: 100: 22.297: lỗi: 04.067.072: thói quen rsa: RSA_EAY_PUBLIC_DECRYPT: kiểm tra đệm thất bại: rsa_eay.c: 697: 22.297: lỗi: 0D0C5006: asn1 mã hóa thói quen: ASN1_item_verify: EVP lib: a_verify.c: 173:
—
John Smith
Điều đó thật lạ. Có vẻ như nó đang gửi chứng chỉ gốc cùng với chứng chỉ máy chủ trong kết nối, vì vậy có lẽ chỉ cần so sánh nội dung của chứng chỉ thứ hai
—
Shane Madden
-showcertsvới nội dung của /var/lib/puppet/ssl/certs/ca.pem- chúng có nên giống hệt nhau không?