Error 77 de curl: ubicacions de verificació del certificat en una instal·lació de VPN

Enganxeu l’ordre d’una línia de l’instal·lador d’un tutorial, premeu Enter i obteniu curl: (77). El missatge esmenta ubicacions de verificació del certificat, així que l’instint és suposar que el certificat del proveïdor VPN està trencat i buscar una opció que ometi la verificació. Aquesta lectura és errònia, i actuar-hi converteix un problema de fitxer local en una decisió de seguretat. Reculem fins al principi.

Pas 1: llegiu què significa el número

L’error 77 fa referència a l’entrada de CA local: curl no va poder llegir ni carregar el material de certificat en què se li havia dit de confiar. L’error 60 és el del servidor remot, quan la cadena del servidor no valida. Apareixen l’un al costat de l’altre als tutorials i signifiquen coses oposades.

Si la vostra sortida diu 77, el servidor no era el problema. El client no va poder obrir el fitxer que volia fer servir per a la comprovació, i això és un problema de camí, permisos o empaquetatge a la vostra màquina.

Pas 2: llegiu l’ordre que heu copiat

Les ordres enganxades amaguen caràcters. La lletra minúscula -l és --list-only, que s’aplica a llistar protocols. La lletra majúscula -L és --location, que segueix una redirecció HTTP. No són maneres alternatives d’escriure-ho, i un tutorial que n’escriu una mentre descriu l’altra envia la gent per un camí de redirecció que mai no s’havia previst.

Seguir una redirecció no arregla el camí d’un magatzem de confiança ni demostra que l’amfitrió final sigui l’editor que volíeu. Si l’ordre ve d’una publicació de fòrum, torneu-la a escriure a partir de les instruccions del propi projecte en lloc de confiar en el que heu enganxat.

Pas 3: esbrineu quina entrada de CA fa servir aquesta compilació

Comenceu identificant el binari, perquè la resposta depèn de com s’ha compilat:

curl --version

Anoteu la versió i el backend TLS. Una compilació que fa servir un magatzem de confiança natiu llegeix el magatzem del sistema a través de la biblioteca TLS, mentre que una compilació apuntada a un paquet llegeix un fitxer. Un --cacert explícit, un paràmetre CURL_CA_BUNDLE o un embolcall d’shell poden substituir qualsevol dels dos, així que una instal·lació per paquet potser no toca el fitxer que falla de debò.

Per a un magatzem basat en fitxer, comproveu tres coses per ordre: si el camí existeix, si el compte que invoca pot llegir-lo i si conté el material de CA que espereu. Un paquet amb permisos incorrectes falla igual que un que falta, i tots dos fallen abans que hi hagi cap conversa de xarxa sobre el servidor.

Pas 4: repareu l’entrada, no la verificació

Restaureu la configuració de confiança admesa a través de qui en sigui propietari: el paquet de la distribució, la vostra gestió de configuració o la variable d’entorn documentada. L’objectiu és una entrada de CA llegible i correcta per a aquest binari.

No canvieu l’URL a HTTP, no afegiu --insecure ni confieu en un certificat copiat d’una descàrrega sense explicació. Cadascun d’aquests canvis altera què esteu disposats a acceptar en lloc d’arreglar què no podia llegir curl, i el canvi sol sobreviure a l’incident.

La referència dels números és el catàleg d’errors de curl, i és prou curt per llegir-lo una vegada amb atenció.

Pas 5: baixeu, mireu i després executeu

Baixeu l’instal·lador a un fitxer en lloc d’enviar-lo a un shell a la mateixa ordre. Aquest sol canvi separa una transferència que podeu inspeccionar del codi que s’executa amb els vostres privilegis.

curl -fL -o vpn-installer.sh https://example.invalid/install.sh
file vpn-installer.sh
head -n 40 vpn-installer.sh

Comproveu que la resposta és l’script que esperàveu i no una pàgina d’error HTML, un avís de redirecció o un fitxer buit. Si l’editor proporciona una suma de verificació o una signatura, verifiqueu-la mitjançant el seu procés de publicació documentat i no un valor citat al mateix fil del fòrum.

Recordeu què va fer HTTPS i què no. Va autenticar el transport fins a l’amfitrió que vau contactar; no va revisar el contingut de l’script i no us diu si l’editor és fiable.

Pas 6: manteniu els passos d’instal·lació separats

Baixar el fitxer, instal·lar el client, configurar el túnel i validar les rutes són quatre operacions amb quatre maneres diferents de fallar. Fer-les d’una en una vol dir que un error més endavant a la seqüència té una causa òbvia en lloc de quatre candidates.

Si la instal·lació té èxit i el túnel puja, verifiqueu les rutes i una destinació real abans de tancar el tiquet. L’error de curl queda arreglat quan una curl -I https://example.invalid senzilla torna a funcionar, no quan l’instal·lador deixa de queixar-se.