Ĝisdatigo de apt malsukcesas kun NO_PUBKEY post aldono de VPN-deponejo

La apt-fonto de via VPN-vendisto rompis vian pakaĵadministrilon, kaj la riparo estas decido, ne komando. NO_PUBKEY, aŭ plendo ke la deponejo havas neniun dosieron Release, signifas ke apt rifuzis fidi tiun fonton, do ĉiu posta paka operacio daŭre presas la saman averton. La tunelo mem probable estas senkulpa. Respondu tri demandojn pri tio, ĉu vi ankoraŭ volas tiun fonton, kaj la ĝusta riparo sekvas preskaŭ meĥanike.

Unue, metu la paneon en la ĝustan kategorion

Fido-paneo nomas la fontdosieron kaj aŭ la mankantan ŝlosilon aŭ la foreston de la dosiero Release. Transporta paneo aspektas alie: TLS-atestaj eraroj, rifuzita konekto, tempolimoj, aŭ prokuro kiu rifuzas CONNECT. Tiu distingo decidas kiun artikolon vi legas, ĉar VPN kiu interkaptas TLS aŭ blokas la gastiganton de la vendisto produktas transportajn erarojn, ne subskribajn erarojn.

Rulu sudo apt update sole kaj legu la finon, ignorante la kaŝmemorajn trafojn supre. La linio kiu gravas nomas /etc/apt/sources.list.d/ kaj diras al vi kiun dosieron malfermi.

Se la paneo sekvas la leviĝon de la tunelo, testu kun la tunelo mallevita kaj kun DNS solvita per la sistema solvilo. Fonto kiu funkcias sen la VPN estas demando de enkursigo aŭ interkapto, kaj neniu kvanto da ŝlosil-administrado riparos ĝin.

Tri demandoj kiuj elektas la vojon

Ĉu vi ankoraŭ instalas aŭ ĝisdatigas pakaĵojn el ĉi tiu fonto? Se la kliento estas aktive uzata, riparu la fidon. Se vi instalis la klienton unufoje kaj nun importas ordinaran profilon en NetworkManager, la fonto estas senutila balasto kaj forigo estas la honesta riparo.

Due, ĉu la vendisto publikigas ŝlosilon kaj fingrospuron kiujn vi povas kontroli ekster la kanalo? Trie, kiu administras ŝlosilojn sur ĉi tiu gastiganto: la distribuo, aŭ vi? Fonto subskribita per ŝlosilo kiun vi ne povas kontroli estas ĝisdatiga aŭtoritato kiun vi ne devus doni.

Respondo ne al la unua demando finas la analizon. Respondo jes al ĉiuj tri punktoj montras al la riparo per signed-by, la sola aranĝo kiu kaj funkcias kaj restas aŭdebla. Miksi la du vojojn, retenante la fonton kaj devigante ĝin trairi, estas la sola opcio inda je eksplicita ekskludo.

Kial trusted=yes aspektas kiel riparo kaj ne estas

La manlibra paĝo pri sources.list estas rekta pri tio. Agordi la opcion Trusted al yes diras al apt akcepti la fonton eĉ kiam ĝi malsukcesas aŭtentikigon, kio malŝaltas apt-secure por tiu deponejo. La paĝo rezervas tion por loka kunteksto, se ĝi entute uziĝas.

Tio ne estas pli mallarĝa versio de fido al la vendisto. Ĝi forigas la demandon kiu subskribis la indekson, do iu ajn kiu povas respondi pri tiu gastigantnomo povas doni al via maŝino pakaĵojn kiuj instaliĝas kiel root.

Ripara vojo: prenu la ŝlosilon, poste fiksu ĝin

Prenu la ŝlosilon el la loko kiun la vendisto dokumentas kaj malarmu ĝin en ŝlosilringon administrata de la administranto, poste direktu la deponejan linion al tiu dosiero por ke la fido ne povu drivi.

1. Legu la malsukcesan linion por akiri la ŝlosilan ID kaj la nomon de la fontdosiero.
2. Elŝutu la ASCII-kirasitan ŝlosilon de la vendisto kaj rulu gpg --dearmor en /etc/apt/keyrings/vendor-name.gpg.
3. Aldonu [signed-by=/etc/apt/keyrings/vendor-name.gpg] al la ero en la dosiero .list de tiu vendisto.
4. Rulu sudo apt update kaj konfirmu ke la fonto prenas indekson anstataŭ ripeti la subskriban averton.

Preferu /usr/share/keyrings por ŝlosiloj kiuj venas kun pakaĵo kaj /etc/apt/keyrings por ŝlosiloj kiujn vi metas permane. La divido ne estas kosmetika: ĝi diras al la sekva administranto kiuj ŝlosiloj postvivos pakan ĝisdatigon kaj kiuj bezonas homon.

Kontrolu la fingrospuron kontraŭ la publikigita valoro de la vendisto antaŭ ol fidi ĝin. Ŝlosila ID enmetita el forumafŝo estas la maniero kiel maŝino ekfidas ĝisdatigan aŭtoritaton kiun neniu povas nomi.

Foriga vojo, kaj kial la eraro povas reveni

Rigardu kion la instalilo efektive skribis, ĉar pluraj dosieroj povas mencii la saman vendiston kaj unu el ili kutime estas postlasita kopio.

grep -r . /etc/apt/sources.list.d/
sudo rm /etc/apt/sources.list.d/vendor.list

apt legas nur dosierojn .list kaj .sources el tiu dosierujo, do kopio .save aŭ .distUpgrade jam estas ignorata; forigi ĝin tamen malhelpas postan leganton restarigi ĝin akcidente. Forigi la fonton malinstalas nenion, kaj apt tiam povas priskribi la instalitan VPN-pakaĵon kiel loke instalita aŭ ne plu disponebla, kio estas paka-stata mesaĝo, ne reveno de la fido-eraro.

La ripetiĝanta kazo estas pli malnovaj instrukcioj kiuj instalis ŝlosilojn per apt-key en la ĝeneralan fido-ringon. Tiu vojo estas eksvalidigita, kaj eldona ĝisdatigo povas lasi la ŝlosilon faligita aŭ simple nekonsultita, kaj ĝuste tial eraro kiu silentis dum jaro aperas en la semajno kiam vi ĝisdatigas. Kontrolu /etc/apt/trusted.gpg.d/, poste movu la fidodecidon en la deponejan linion kie ĝi apartenas. Se la vendisto ankoraŭ presas apt-key-instrukciojn, uzu signed-by tamen; ĝi estas la aranĝo kiun la manlibro dokumentas, kaj ĝi estas tiu kiu postvivas ĝisdatigon.