TLS erroreak enpresako VPNan soilik: konpondu konfiantza-biltegi zuzena

Go-ren konpilazioak, Composer-en instalazioak eta Python bezeroak etxean funtzionatzen dute eta guztiek huts egiten dute enpresako VPNaren barruan. Eredu horrek bideari buruz hitz egiten dizu, ez aplikazioari buruz. Tuneleko zerbait aldatu da zure prozesuak ikusten duen ziurtagiri-katea, edo eskuko keinua berrezarri du kate bat iritsi aurretik. Bi hutsek antzeko itxura dute terminalean eta erantzun erabat desberdinak eskatzen dituzte.

Hiru mezu, hiru mekanismo

x509 certificate signed by unknown authority erroreak esan nahi du kate bat eraiki zela eta haren erroa falta dela prozesu horrek erabiltzen duen konfiantza-biltegian. self-signed certificate in certificate chain erroreak normalean esan nahi du ikuskapen-proxy batek bere ziurtagiriarekin erantzun zuela, eta hori zure exekuzio-inguruneak ezagutzen ez duen katea da. Eskuko keinuaren zehar SSL EOF batek esan nahi du konexioa itxi zela ziurtagiri erabilgarririk bidali aurretik, eta hori ClientHello ukatzen duen tarteko gailu bat da, ez da inolako konfiantza-arazorik.

Segurtasunik gabeko bandera bat gehitzeak hiru mezuak desagerrarazten ditu intertzeptazioa lekuan utzita, eta benetako erasotzaile bat harrapatuko lukeen egiaztapena kentzen du.

Aurkitu prozesuak benetan irakurtzen duen sorta

Windows biltegian instalatutako enpresako erroak sistema-biltegia kontsultatzen duten nabigatzaileak eta .NET aplikazioak konpontzen ditu. Ez du ezer egiten edukiontzi baten barruan exekutatzen den konpilazio baterako, zeinak bere CA sorta daraman, ez eta certifi erabiltzen duen Python prozesu batentzat edo bere zerrenda barneratua erabiltzen duen Node prozesu batentzat ere. Go-k binarioa exekutatzen den ingurunearen sistema-poola irakurtzen du, hau da, edukiontzia, ez ordenagailua. Beraz, makina bakarrak nabigatzaile funtzionala eta huts egiten duen konpilazio-tresna sortzen ditu aldi berean.

Galdetu tresnari suposatu beharrean. python3 -c "import ssl; print(ssl.get_default_verify_paths())" Python-ek kontsultatuko dituen fitxategiak inprimatzen ditu, eta node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" erakusten du gainidazketa bat dagoeneko ezarrita dagoen. Edukiontzi batentzat, exekutatu egiaztapen bera irudiaren barruan, hori delako konpilazioak benetan erabiltzen duen ingurunea.

Instalatu erro bat konpilazioa exekutatzen den tokian

Lortu ikuskapen-erroa ITtik PEM fitxategi gisa eta egiaztatu haren hatz-marka kanal bereizi baten bidez fidatu aurretik. Debian-en oinarritutako irudietan, kopiatu /usr/local/share/ca-certificates/ karpetan eta exekutatu update-ca-certificates; RHEL familiako irudiek update-ca-trust erabiltzen dute fitxategia /etc/pki/ca-trust/source/anchors/ karpetan utzi ondoren. Edukiontziko konpilazio batean, gehitu urrats horiek huts egiten duen komandoaren aurretik, geruza mendekotasunen instalazioaren gainetik cachean gera dadin.

Tokiko devcontainer baterako, muntatu PEM eta exekutatu berritze-komando bera abioan, inork erreproduzitu ezin duen irudi pertsonal batean egosi beharrean. Haien sorta ekartzen duten tresnek beren gainidazketa dokumentatua behar dute: pip-ek ziurtagiri-ezarpena du, npm-ek cafile ezarpena du, eta beste gehienek ingurumen-aldagai estandarrak onartzen dituzte.

Hau ez da edozein ziurtagiri onartzearen berdina. Ikuskapena egiten duen aldetik lortutako erro zehatz bat gehitzen diozu ingurune bati, eta egiaztapena piztuta jarraitzen du beste kate guztientzat. Idatzi zein fitxategi gehitu zen eta noiz iraungiko den, ikuskapen-erroa beste CA bat bezala berritzen delako.

Eskuko keinua ziurtagiri baten aurretik hiltzen denean

Ezer aurkezten ez bada, konfiantza-biltegiko aldaketak ez du lagunduko. Konparatu eskaera bera tunela goran eta behean, eta gero aztertu katea zuzenean openssl s_client -connect host:443 -servername host -showcerts erabiliz. VPNtik kanpo osatzen eta haren barruan berrezartzen den konexioa tarteko gailuak hartutako politika-erabakia da, eta erremedioa ostalari horretarako salbuespena da, ez beste ziurtagiri bat. Eskatu pakete-erregistroa edo API amaiera-puntua aldatu gabe pasatzen uzteko.

Tunela zatitzeak tresnak VPNa saihesteko, trafiko horren ikuskapena saihesten du, eta horrek politika urra dezake eta ez du tresna fidagarri egiten.

Idatzi emaitza tresna bakoitzeko

Binarioa, irakurtzen duen konfiantza-fitxategia, jokoan dagoen ingurumen-aldagaia eta onartutako salbuespena zerrendatzen dituen ohar labur batek hurrengo pertsonari diagnosi osoa aurreztuko dio. Eduki oharra tresna bakoitzeko, ez ordenagailu bakoitzeko, ordenagailua gutxitan delako aldatu den gauza.

Eta eduki bi esaldi bereizita txartelean: enpresako erro zehatz bat instalatu genuen, eta egiaztapena desaktibatu genuen. Horietako bat soilik da laguntza-ekintza.