由于某些 SSL 错误，新服务器无法从 Puppetmaster 获取配置

Question 1

简洁的答案

该问题CRL is not yet valid for表明Puppet-agent 和 Puppetmaster 之间的时间不同步. 同步时间（NTP）。从 Puppet-agent 和 Puppetmaster 中删除证书，然后在代理上运行 Puppet。

全面解答

CRL is not yet valid for位于以下代码片段中。

这以下测试代码片段描述导致问题的原因：

it 'includes the CRL issuer in the verify error message' do
  crl = OpenSSL::X509::CRL.new
  crl.issuer = OpenSSL::X509::Name.new([['CN','Puppet CA: puppetmaster.example.com']])
  crl.last_update = Time.now + 24 * 60 * 60
  ssl_context.stubs(:current_crl).returns(crl)

  subject.call(false, ssl_context)
  expect(subject.verify_errors).to eq(["CRL is not yet valid for /CN=Puppet CA: puppetmaster.example.com"])
end

ssl_上下文

let(:ssl_context) do
  mock('OpenSSL::X509::StoreContext')
end

主题

subject do
  described_class.new(ssl_configuration,
  ssl_host)
end

代码包含来自OpenSSL::X509::CRL班级。

发行人=（p1）

               static VALUE
ossl_x509crl_set_issuer(VALUE self, VALUE issuer)
{
    X509_CRL *crl;

    GetX509CRL(self, crl);

    if (!X509_CRL_set_issuer_name(crl, GetX509NamePtr(issuer))) { /* DUPs name */
        ossl_raise(eX509CRLError, NULL);
    }
    return issuer;
}

上次更新=（p1）

               static VALUE
ossl_x509crl_set_last_update(VALUE self, VALUE time)
{
    X509_CRL *crl;
    time_t sec;

    sec = time_to_time_t(time);
    GetX509CRL(self, crl);
    if (!X509_time_adj(crl->crl->lastUpdate, 0, &sec)) {
        ossl_raise(eX509CRLError, NULL);
    }

    return time;
}

这最近更新时间时间将是当前时间加上额外的一天，并将传递给调用呼叫功能位于default_validator 类。

class Puppet::SSL::Validator::DefaultValidator #< class Puppet::SSL::Validator
  attr_reader :peer_certs
  attr_reader :verify_errors
  attr_reader :ssl_configuration

  FIVE_MINUTES_AS_SECONDS = 5 * 60

  def initialize(
    ssl_configuration = Puppet::SSL::Configuration.new(
    Puppet[:localcacert], {
      :ca_auth_file => Puppet[:ssl_client_ca_auth]
    }),

    ssl_host = Puppet::SSL::Host.localhost)
    reset!
    @ssl_configuration = ssl_configuration
    @ssl_host = ssl_host
  end

  def call(preverify_ok, store_context)
    if preverify_ok
      ...
    else
      ...
      crl = store_context.current_crl
      if crl
        if crl.last_update && crl.last_update < Time.now + FIVE_MINUTES_AS_SECONDS
          ...
        else
          @verify_errors << "#{error_string} for #{crl.issuer}"
        end
        ...
      end
    end
  end

如果 preverify_ok 为 false，则 else 子句适用。if crl.last_update && crl.last_update < Time.now + FIVE_MINUTES_AS_SECONDS结果为 false，因为时间已用额外的一天填充，因此 else 语句将适用。评估@verify_errors << "#{error_string} for #{crl.issuer}"结果为CRL is not yet valid for /CN=Puppet CA: puppetmaster.example.com。

为了解决这个问题：

同步 Puppet-agent 和 Puppetmaster 之间的时间。NTP 服务器在两个节点上是否运行良好？
删除或重命名完整的 ssl 文件夹（/var/lib/puppet/ssl) 来自代理人。
通过发出以下命令撤销主服务器的证书sudo puppet cert clean <fqdn-puppet-agent>
如果自动签名被禁用，则签署证书
在代理上运行 puppet

综上所述，Puppet-agents 和 Puppetmaster 的时间应该始终保持同步。超过允许的最大偏差 5 分钟将导致此问题。

Answer