В соответствии со своей конфигурацией агент использует имя «puppetserver» для идентификации и связи с сервером. Его вывод подтверждает это.
Агент успешно создает CSR, отправляет его на компьютер puppetserver и получает подписанный сертификат. Это показывает, что он успешно связывается с сервером, и есть все основания ожидать, что сервер примет сертификат, который он только что подписал.
По-видимому, проблема в сертификате магистра. Скорее всего, это связано с тем, что машина сервера puppet самоопознается как «puppet.openvpn», так что это, вероятно, имя, для которого выдается сертификат мастера, тогда как агент использует другое имя для связи с мастером. Несоответствие между именем в сертификате и представлением агентом названия машины, с которой он говорит, является хорошей причиной для агента отклонить сертификат.
Можно, с некоторым вниманием к пользовательской конфигурации, организовать для сертификата мастера имя, отличное от его собственного представления об имени хоста. Проще, однако, просто соответствовать имени, используемому для идентификации этой машины. И в соответствии с этим я рекомендую постоянно полагаться на полностью квалифицированные имена.
В качестве отдельного вопроса вы также столкнетесь с проблемами при работе с агентами, которые имеют одинаковые имена хостов (то есть localhost.localdomain), если, опять же, вы не позаботитесь о конфигурации их марионеток, чтобы убедиться, что они используют разные , уникальные имена на своих сертификатах. Путь наименьшего сопротивления - дать правильные имена вашим машинам и сделать это до регистрации их с хозяином Puppet.