59975 2026-07-27 16:10:42 +0300 Сервис падает из-за ошибки генерации сертификатов 2026-07-28 08:59:18 +0300 1 1 4 Development Sisyphus freeradius unstable x86_64 Linux NEW P5 normal --- 1 lavrenkoes antohami antohami grenka shaba vsu qa-sisyphus oldest_to_newest 291808 0 21920 lavrenkoes 2026-07-27 16:10:42 +0300 Created attachment 21920 journalctl error.log Система (обновленная до Sisyphus): Alt Server 11.1 x86-64 Версия пакета: freeradius-3.2.8-alt2 Описание ошибки: В условиях истекших сертификатов freeradius было обнаружено, что сервис не может самостоятельно выполнить их перегенерацию Например, на давно развернутой системе (Alt Server в редакции Domain пакет freeradius предустановлен): # openssl x509 -in /etc/raddb/certs/server.pem -noout -dates notBefore=Apr 20 09:03:31 2026 GMT notAfter=Jun 19 09:03:31 2026 GMT При запуске сервиса radiusd.service возникает ошибка: sh[1543]: ERROR:There is already a certificate for /C=FR/ST=Radius/O=Example Inc./CN=Example Server Certificate/emailAddress=admin@example.org ... sh[1560]: make: *** [Makefile:95: server.crt] Error 1 Шаги для более быстрого воспроизведения: 1. Установить пакет: # apt-get install freeradius 2. Имитировать ситуацию, когда файлы сертификатов отсутствуют: # cd /etc/raddb/certs && rm -f server.pem server.key server.crt server.csr 3. Запустить сервис: # systemctl start radiusd.service Ожидаемое поведение: Сервис корректно запустился: При обнаружении отсутствия файлов сертификатов или их невалидности, скрипт должен предварительно выполнять полную очистку старого состояния CA перед запуском новой генерации. Реальное поведение: Сервис падает с ошибкой (полный лог ошибки во вложении) Дополнительно: 1. В P11 также возникало падение с истекшими сертификатами: sh[1595]: C=FR, ST=Radius, L=Somewhere, O=Example Inc., emailAddress=admin@example.org, CN=Example Certificate Authority sh[1595]: error 10 at 1 depth lookup: certificate has expired sh[1595]: C=FR, ST=Radius, O=Example Inc., CN=Example Server Certificate, emailAddress=admin@example.org sh[1595]: error 10 at 0 depth lookup: certificate has expired sh[1595]: error server.pem: verification failed sh[1594]: make: *** [Makefile:107: server.vrfy] Error 2 291810 1 antohami 2026-07-27 16:15:54 +0300 Проверьте, поможет ли добавление в /lib/systemd/system/radiusd.service строки ReadWriteDirectories=/etc/raddb/certs --- a/.gear/altlinux/freeradius-service +++ b/.gear/altlinux/freeradius-service @@ -27,6 +27,7 @@ ProtectKernelModules=true ProtectKernelTunables=true SystemCallArchitectures=native ReadOnlyDirectories=/etc/raddb +ReadWriteDirectories=/etc/raddb/certs ReadWriteDirectories=/var/log/radius [Install] 291811 2 lavrenkoes 2026-07-27 16:22:18 +0300 Нет, данное исправление не помогло, ошибка не изменилась 291812 3 antohami 2026-07-27 16:29:39 +0300 >Шаги для более быстрого воспроизведения: >1. Установить пакет: > # apt-get install freeradius >2. Имитировать ситуацию, когда файлы сертификатов отсутствуют: > # cd /etc/raddb/certs && rm -f server.pem server.key server.crt server.csr >3. Запустить сервис: > # systemctl start radiusd.service В p11 это работало? 291814 4 lavrenkoes 2026-07-27 16:35:42 +0300 Нет, в p11 это не работало, была следующая ошибка: systemd[1]: Starting radiusd.service - FreeRADIUS high performance RADIUS server.... sh[1655]: openssl req -new -out server.csr -keyout server.key -config ./server.cnf ... sh[1656]: req: Can't open "server.key" for writing, Read-only file system sh[1655]: make: *** [Makefile:91: server.csr] Error 1 systemd[1]: radiusd.service: Control process exited, code=exited, status=2/INVALIDARGUMENT 291848 5 vsu 2026-07-28 08:59:18 +0300 (Ответ для Лавренко Егор Сергеевич на комментарий #4) > Нет, в p11 это не работало, была следующая ошибка: … > sh[1656]: req: Can't open "server.key" for writing, Read-only file system Тут как раз понятно, что не работает — в p11 запуск ExecStartPre=/bin/sh /etc/raddb/certs/bootstrap выполнялся из того же radiusd.service, в котором указано ReadOnlyDirectories=/etc/raddb. Хотя можно отключить эти ограничения для конкретной команды, добавив префикс "+" вместо заведения отдельного сервиса: ExecStartPre=+/bin/sh /etc/raddb/certs/bootstrap Сразу после установки пакета эта проблема не проявляется, поскольку сертификаты генерируются в скрипте %post в процессе установки. В freeradius-3.2.8-alt2 вызов bootstrap вынесен в отдельный сервис radiusd-bootstrap.service, поэтому ограничения вида ReadOnlyDirectories=/etc/raddb, указанные в radiusd.service, на процесс bootstrap в любом случае не действуют. Автоматическая перегенерация сертификатов в случае истечения их срока действия, судя по всему, в апстримном raddb/certs/Makefile просто не реализована — там проверяется только наличие файлов. Хотя это может быть и сознательным решением, поскольку эти сертификаты в любом случае не предназначены для реальной работы. Ошибка при генерации нового server.crt при наличии старых файлов CA, вероятнее всего, может быть устранена изменением настроек — в файлы /etc/raddb/certs/*.cnf в секцию [CA_default] нужно добавить параметр: unique_subject = no (По умолчанию "openssl ca" не разрешает создавать сертификаты с повторяющимися DN.) Ещё, возможно, при перегенерации ca.key и ca.pem старые файлы serial и index.txt нужно удалять (смена ключа в любом случае будет означать, что это другой CA). 21920 2026-07-27 16:10:42 +0300 2026-07-27 16:10:42 +0300 journalctl error.log error.log text/x-log 5298 lavrenkoes 0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1taW5pbWFs LWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc3lzdGVtZFsxXTogU3RhcnRpbmcgcmFkaXVzZC1i b290c3RyYXAuc2VydmljZSAtIEZyZWVSQURJVVMgYm9vdHN0cmFwLi4uCtC40Y7QuyAyNyAxNDo0 MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3 MjcubG9jYWxkb21hIHNoWzE1NjBdOiBvcGVuc3NsIHJlcSAtbmV3IC14NTA5IC1rZXlvdXQgY2Eu a2V5IC1vdXQgY2EucGVtIFwK0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1s ZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU2MF06ICAg ICAgICAgLWRheXMgJzYwJyAtY29uZmlnIC4vY2EuY25mIFwK0LjRjtC7IDI3IDE0OjQxOjU4IHNl cnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2Nh bGRvbWEgc2hbMTU2MF06ICAgICAgICAgLXBhc3NpbiBwYXNzOid3aGF0ZXZlcicgLXBhc3NvdXQg cGFzczond2hhdGV2ZXInCtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVn YWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21hIHNoWzE1NjNdOiAuLi4u Li4uLi4rLi4uKy4uLi4uLisuLi4uLi4uLi4rLi4uLi4uLi4uLi4uLisrKysrKysrKysrKysrKysr KysrKysrKysrKysrKysrKysrKysrKyouLi4uLi4uLisuLisuKy4uLi4uLi4uKy4uLi4rLi4rLi4u Li4uLi4uLi4uLi4uKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKi4uLisu PgrQuNGO0LsgMjcgMTQ6NDE6NTggc2VydmVyLTExLTEteDg2LTY0LWxlZ2FjeS1leHQ0LW1pbmlt YWwtZG9tYWluLTIwMjYwNzI3LmxvY2FsZG9tYSBzaFsxNTYzXTogLisuLi4uLisuLi4rLi4uKy4u Li4rLi4uLi4uKy4uLi4uLi4uLisuLi4rLi4uKy4uLi4uKy4uLisrKysrKysrKysrKysrKysrKysr KysrKysrKysrKysrKysrKysrKyouLisuLisuLi4rLi4uLi4uLi4uLi4uLi4uLisuLisuLi4uLi4u Li4uKy4uKy4rLi4uLi4rLi4uLi4uLi4uKy4rLi4uLi4uKy4uLi4uLi4uKz4K0LjRjtC7IDI3IDE0 OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2 MDcyNy5sb2NhbGRvbWEgc2hbMTU2M106IC0tLS0tCtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXIt MTEtMS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21h IHNoWzE1NjBdOiBjaG1vZCBnK3IgY2Eua2V5CtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEt MS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21hIHNo WzE1NjBdOiBvcGVuc3NsIHg1MDkgLWluZm9ybSBQRU0gLW91dGZvcm0gREVSIC1pbiBjYS5wZW0g LW91dCBjYS5kZXIK0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3kt ZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU2MF06IG9wZW5zc2wg Y2EgLWdlbmNybCAta2V5ZmlsZSBjYS5rZXkgLWNlcnQgY2EucGVtIC1jb25maWcgLi9jYS5jbmYg LW91dCBjYS1jcmwucGVtIC1rZXkgJ3doYXRldmVyJwrQuNGO0LsgMjcgMTQ6NDE6NTggc2VydmVy LTExLTEteDg2LTY0LWxlZ2FjeS1leHQ0LW1pbmltYWwtZG9tYWluLTIwMjYwNzI3LmxvY2FsZG9t YSBzaFsxNTY2XTogVXNpbmcgY29uZmlndXJhdGlvbiBmcm9tIC4vY2EuY25mCtC40Y7QuyAyNyAx NDo0MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAy NjA3MjcubG9jYWxkb21hIHNoWzE1NjBdOiBvcGVuc3NsIGNybCAtaW4gY2EtY3JsLnBlbSAtb3V0 Zm9ybSBkZXIgLW91dCBjYS5jcmwK0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02 NC1sZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU2MF06 IHJtIGNhLWNybC5wZW0K0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdh Y3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU2MF06IG9wZW5z c2wgcmVxIC1uZXcgIC1vdXQgc2VydmVyLmNzciAta2V5b3V0IHNlcnZlci5rZXkgLWNvbmZpZyAu L3NlcnZlci5jbmYK0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3kt ZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU2OV06IC4uLi4uLi4u LisuLi4uLi4uLi4uLi4uLi4uLi4rLi4uLisuLi4rLi4rLisuLi4uLi4uLisuKy4uLi4uLisuLi4r Li4rLi4uLi4uLisuLi4rKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysqLi4u LisuLi4uLi4uLisuLi4rLi4uLisuLi4rLi4uKysrKysrKysrKysrKysrKysrKysrKysrKys+CtC4 0Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1k b21haW4tMjAyNjA3MjcubG9jYWxkb21hIHNoWzE1NjldOiAuLi4uLi4uLi4uLi4rLi4uKy4uLi4u Li4uLisuLi4rLi4uKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKi4uLisu Li4rLi4uLisuLisuKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKysrKi4uLi4r Li4rLisuLi4uLi4uLi4uLi4rLi4uLi4rLi4uLi4uKy4uLi4uLi4rPgrQuNGO0LsgMjcgMTQ6NDE6 NTggc2VydmVyLTExLTEteDg2LTY0LWxlZ2FjeS1leHQ0LW1pbmltYWwtZG9tYWluLTIwMjYwNzI3 LmxvY2FsZG9tYSBzaFsxNTY5XTogLS0tLS0K0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0x LXg4Ni02NC1sZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hb MTU2MF06IGNobW9kIGcrciBzZXJ2ZXIua2V5CtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEt MS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21hIHNo WzE1NjBdOiBvcGVuc3NsIGNhIC1iYXRjaCAta2V5ZmlsZSBjYS5rZXkgLWNlcnQgY2EucGVtIC1p biBzZXJ2ZXIuY3NyICAta2V5ICd3aGF0ZXZlcicgLW91dCBzZXJ2ZXIuY3J0IC1leHRlbnNpb25z IHhwc2VydmVyX2V4dCAtZXh0ZmlsZSB4cGV4dGVuc2lvbnMgLWNvbmZpZyAuL3NlcnZlci5jbmYK 0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1taW5pbWFs LWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU3MV06IFVzaW5nIGNvbmZpZ3VyYXRpb24g ZnJvbSAuL3NlcnZlci5jbmYK0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1s ZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU3MV06IENo ZWNrIHRoYXQgdGhlIHJlcXVlc3QgbWF0Y2hlcyB0aGUgc2lnbmF0dXJlCtC40Y7QuyAyNyAxNDo0 MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3 MjcubG9jYWxkb21hIHNoWzE1NzFdOiBTaWduYXR1cmUgb2sK0LjRjtC7IDI3IDE0OjQxOjU4IHNl cnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1taW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2Nh bGRvbWEgc2hbMTU3MV06IEVSUk9SOlRoZXJlIGlzIGFscmVhZHkgYSBjZXJ0aWZpY2F0ZSBmb3Ig L0M9RlIvU1Q9UmFkaXVzL089RXhhbXBsZSBJbmMuL0NOPUV4YW1wbGUgU2VydmVyIENlcnRpZmlj YXRlL2VtYWlsQWRkcmVzcz1hZG1pbkBleGFtcGxlLm9yZwrQuNGO0LsgMjcgMTQ6NDE6NTggc2Vy dmVyLTExLTEteDg2LTY0LWxlZ2FjeS1leHQ0LW1pbmltYWwtZG9tYWluLTIwMjYwNzI3LmxvY2Fs ZG9tYSBzaFsxNTcxXTogVGhlIG1hdGNoaW5nIGVudHJ5IGhhcyB0aGUgZm9sbG93aW5nIGRldGFp bHMK0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1taW5p bWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc2hbMTU3MV06IFR5cGUgICAgICAgICAgOlZh bGlkCtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVnYWN5LWV4dDQtbWlu aW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21hIHNoWzE1NzFdOiBFeHBpcmVzIG9uICAgIDoy NjA2MTkwOTAzMzFaCtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEtMS14ODYtNjQtbGVnYWN5 LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21hIHNoWzE1NzFdOiBTZXJpYWwg TnVtYmVyIDowMQrQuNGO0LsgMjcgMTQ6NDE6NTggc2VydmVyLTExLTEteDg2LTY0LWxlZ2FjeS1l eHQ0LW1pbmltYWwtZG9tYWluLTIwMjYwNzI3LmxvY2FsZG9tYSBzaFsxNTcxXTogRmlsZSBuYW1l ICAgICA6dW5rbm93bgrQuNGO0LsgMjcgMTQ6NDE6NTggc2VydmVyLTExLTEteDg2LTY0LWxlZ2Fj eS1leHQ0LW1pbmltYWwtZG9tYWluLTIwMjYwNzI3LmxvY2FsZG9tYSBzaFsxNTcxXTogU3ViamVj dCBOYW1lICA6L0M9RlIvU1Q9UmFkaXVzL089RXhhbXBsZSBJbmMuL0NOPUV4YW1wbGUgU2VydmVy IENlcnRpZmljYXRlL2VtYWlsQWRkcmVzcz1hZG1pbkBleGFtcGxlLm9yZwrQuNGO0LsgMjcgMTQ6 NDE6NTggc2VydmVyLTExLTEteDg2LTY0LWxlZ2FjeS1leHQ0LW1pbmltYWwtZG9tYWluLTIwMjYw NzI3LmxvY2FsZG9tYSBzaFsxNTYwXTogbWFrZTogKioqIFtNYWtlZmlsZTo5NTogc2VydmVyLmNy dF0gRXJyb3IgMQrQuNGO0LsgMjcgMTQ6NDE6NTggc2VydmVyLTExLTEteDg2LTY0LWxlZ2FjeS1l eHQ0LW1pbmltYWwtZG9tYWluLTIwMjYwNzI3LmxvY2FsZG9tYSBzeXN0ZW1kWzFdOiByYWRpdXNk LWJvb3RzdHJhcC5zZXJ2aWNlOiBNYWluIHByb2Nlc3MgZXhpdGVkLCBjb2RlPWV4aXRlZCwgc3Rh dHVzPTIvSU5WQUxJREFSR1VNRU5UCtC40Y7QuyAyNyAxNDo0MTo1OCBzZXJ2ZXItMTEtMS14ODYt NjQtbGVnYWN5LWV4dDQtbWluaW1hbC1kb21haW4tMjAyNjA3MjcubG9jYWxkb21hIHN5c3RlbWRb MV06IHJhZGl1c2QtYm9vdHN0cmFwLnNlcnZpY2U6IEZhaWxlZCB3aXRoIHJlc3VsdCAnZXhpdC1j b2RlJy4K0LjRjtC7IDI3IDE0OjQxOjU4IHNlcnZlci0xMS0xLXg4Ni02NC1sZWdhY3ktZXh0NC1t aW5pbWFsLWRvbWFpbi0yMDI2MDcyNy5sb2NhbGRvbWEgc3lzdGVtZFsxXTogRmFpbGVkIHRvIHN0 YXJ0IHJhZGl1c2QtYm9vdHN0cmFwLnNlcnZpY2UgLSBGcmVlUkFESVVTIGJvb3RzdHJhcC4K