curl-i viga 77: sertifikaadi kontrollimise asukohad VPN-i paigaldamisel

Kleebite õpetusest paigaldaja üherealise käsu, vajutate Enterit ja saate curl: (77). Teade mainib sertifikaadi kontrollimise asukohti, seega tung on eeldada, et VPN-i pakkuja sertifikaat on katki, ja haarata lipu järele, mis kontrollimise vahele jätab. See lugemine on vale ja selle järgi tegutsemine muudab kohaliku failiprobleemi turvavaldkonna otsuseks. Läheme algusest peale tagasi.

Samm 1: lugege, mida number tähendab

Viga 77 puudutab kohalikku CA-sisendit: curl ei suutnud lugeda ega laadida sertifikaadimaterjali, mida tal kästi usaldada. Viga 60 on see, mis puudutab vastaspoolt, kui serveri ahel ei valideeru. Õpetustes seisavad need kõrvuti ja tähendavad vastandlikke asju.

Kui teie väljund ütleb 77, ei olnud server kunagi probleem. Klient ei suutnud avada faili, mida ta tahtis kontrollimiseks kasutada, ja see on tee-, õiguste või pakendamise probleem teie masinas.

Samm 2: lugege käsku, mille kopeerisite

Kopeeritud käsud varjavad märke. Väiketähega -l tähendab --list-only, mis kehtib protokollide loetlemise kohta. Suurtähega -L tähendab --location, mis järgib HTTP ümbersuunamist. Need ei ole alternatiivsed kirjaviisid ja õpetus, mis kirjutab ühte, samal ajal teist kirjeldades, saadab inimesed ümbersuunamise teele, mida kunagi ei kavatsetud.

Ümbersuunamise järgimine ei paranda usaldushoidla teed ega tõesta, et lõplik host on see väljaandja, mida mõtlesite. Kui käsk pärineb foorumipostitusest, kirjutage see uuesti projekti enda juhiste järgi, selle asemel et kleebisele usaldada.

Samm 3: tehke kindlaks, millist CA-sisendit see buut kasutab

Alustage binaarfaili tuvastamisest, sest vastus sõltub sellest, kuidas see kompileeriti:

curl --version

Kirjutage üles versioon ja TLS-i taust. Natiivset usaldushoidlat kasutav buut loeb süsteemihoidlat TLS-i teegi kaudu, samas kui paketile suunatud buut loeb faili. Selgesõnaline --cacert, säte CURL_CA_BUNDLE või shelli ümbris võivad mõlemat alistada, nii et paketi paigaldus ei pruugi puudutada faili, mis tegelikult ebaõnnestub.

Failipõhise hoidla puhul kontrollige kolme asja järjekorras: kas tee on olemas, kas kutsuv konto saab seda lugeda ja kas see sisaldab oodatud CA-materjali. Vale õigustega pakett ebaõnnestub samamoodi nagu puuduv ja mõlemad ebaõnnestuvad enne mis tahes võrgusvestlust serveri kohta.

Samm 4: parandage sisendit, mitte kontrollimist

Taastage toetatud usaldusseadistus selle omaniku kaudu: distributsiooni pakett, teie konfiguratsioonihaldus või dokumenteeritud keskkonnamuutuja. Eesmärk on loetav ja õige CA-sisend selle binaarfaili jaoks.

Ärge lülitage URL-i HTTP-le, ärge lisage --insecure ega usaldage sertifikaati, mis on kopeeritud seletamata allalaadimisest. Kõik need muudatused muudavad seda, mida olete valmis aktsepteerima, selle asemel et parandada seda, mida curl ei suutnud lugeda, ja muudatus jääb tavaliselt juhtumist kauem kestma.

Numbrite viide on curl-i vigade kataloog, ja see on piisavalt lühike, et korra hoolega läbi lugeda.

Samm 5: laadige alla, vaadake, seejärel käivitage

Hankige paigaldaja faili, selle asemel et see samas käsus shelli torusse suunata. See üks muudatus eraldab ülekande, mida saate uurida, koodist, mis töötab teie õigustega.

curl -fL -o vpn-installer.sh https://example.invalid/install.sh
file vpn-installer.sh
head -n 40 vpn-installer.sh

Kontrollige, et vastus on oodatud skript, mitte HTML-vigaleht, ümbersuunamise teade ega tühi fail. Kui väljaandja pakub kontrollsummat või allkirja, kontrollige seda nende dokumenteeritud väljaandmisprotsessi kaudu, mitte samas foorumilõimes tsiteeritud väärtuse järgi.

Pidage meeles, mida HTTPS tegi ja mida mitte. See autentis ülekande hostini, millega ühendusite; see ei vaadanud skripti sisu ega ütle, kas väljaandja on usaldusväärne.

Samm 6: hoidke paigaldussammud eraldi

Faili allalaadimine, kliendi paigaldamine, tunnelil konfigureerimine ja marsruutide valideerimine on neli toimingut nelja erineva tõrkemustriga. Nende ükshaaval tegemine tähendab, et hilisemal veal järjestuses on üks ilmne põhjus nelja kandidaadi asemel.

Kui paigaldus õnnestub ja tunnel tuleb üles, kontrollige marsruute ja ühte päris sihtkohta enne pileti sulgemist. Curl-i viga on parandatud siis, kui lihtne curl -I https://example.invalid jälle töötab, mitte siis, kui paigaldaja kaebamise lõpetab.