TLS లోపాలు కార్పొరేట్ VPN లో మాత్రమే: సరైన ట్రస్ట్ స్టోర్‌ను సరిచేయండి

Go బిల్డ్, Composer ఇన్‌స్టాల్ మరియు Python క్లయింట్ అన్నీ ఇంట్లో పనిచేస్తాయి, అన్నీ కంపెనీ VPN లోపల విఫలమవుతాయి. ఈ నమూనా మీకు అనువర్తనం గురించి కాదు, మార్గం గురించి చెబుతుంది. సొరంగంపై ఏదో మీ ప్రక్రియ చూసే ధృవపత్ర శృంఖలాన్ని మార్చింది, లేదా ఏ శృంఖలం రాకముందే హ్యాండ్‌షేక్‌ను రీసెట్ చేసింది. రెండు లోపాలు టెర్మినల్‌లో ఒకేలా కనిపిస్తాయి మరియు పూర్తిగా భిన్నమైన ప్రతిస్పందనలు అడుగుతాయి.

మూడు సందేశాలు, మూడు యంత్రాంగాలు

x509 certificate signed by unknown authority లోపం అంటే శృంఖలం నిర్మించబడింది మరియు దాని మూలం ఆ ప్రక్రియ ఉపయోగించే ట్రస్ట్ స్టోర్‌లో లేదు. self-signed certificate in certificate chain లోపం సాధారణంగా తనిఖీ ప్రాక్సీ తన సొంత ధృవపత్రంతో సమాధానమిచ్చిందని అర్థం, అది మీ రన్‌టైమ్ గుర్తించని శృంఖలం. హ్యాండ్‌షేక్ సమయంలో SSL EOF అంటే ఏదైనా ఉపయోగకరమైన ధృవపత్రం పంపే ముందే కనెక్షన్ మూసివేయబడింది, మరియు అది ClientHello ను తిరస్కరించే మధ్యవర్తి పరికరం, ట్రస్ట్ సమస్యే కాదు.

అసురక్షిత పతాకం జోడిస్తే మూడు సందేశాలు మాయమవుతాయి, అయితే అంతరాయం తన స్థానంలోనే ఉంటుంది, నిజమైన దాడిదారుడిని పట్టుకునే తనిఖీని కూడా అది తొలగిస్తుంది.

ప్రక్రియ నిజంగా చదివే బండిల్ కనుగొనండి

Windows స్టోర్‌లో ఇన్‌స్టాల్ చేసిన కార్పొరేట్ మూలం సిస్టమ్ స్టోర్‌ను సంప్రదించే బ్రౌజర్లను మరియు .NET అనువర్తనాలను సరిచేస్తుంది. కంటైనర్ లోపల నడిచే బిల్డ్ కోసం అది ఏమీ చేయదు, ఎందుకంటే దానికి సొంత CA బండిల్ ఉంటుంది, certifi ఉపయోగించే Python ప్రక్రియకు లేదా తన స్వంత జాబితాను ఉపయోగించే Node ప్రక్రియకు కూడా ఏమీ చేయదు. Go బైనరీ నడిచే వాతావరణపు సిస్టమ్ పూల్ చదువుతుంది, అంటే కంటైనర్, ల్యాప్‌టాప్ కాదు. అందువల్ల ఒకే యంత్రం ఒకేసారి పనిచేసే బ్రౌజర్ మరియు విఫలమయ్యే బిల్డ్ సాధనం ఇస్తుంది.

ఊహించకుండా సాధనాన్నే అడగండి. python3 -c "import ssl; print(ssl.get_default_verify_paths())" Python సంప్రదించే ఫైళ్లను ముద్రిస్తుంది, node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" ఓవర్‌రైడ్ ఇప్పటికే సెట్ చేయబడిందో లేదో చూపిస్తుంది. కంటైనర్ కోసం, అదే తనిఖీని చిత్రం లోపల నడపండి, ఎందుకంటే బిల్డ్ నిజంగా ఉపయోగించేది ఆ వాతావరణమే.

బిల్డ్ నడిచే చోటే ఒక మూలాన్ని ఇన్‌స్టాల్ చేయండి

తనిఖీ మూలాన్ని IT నుండి PEM ఫైల్‌గా తీసుకుని, నమ్మే ముందు దాని వేలిముద్రను ప్రత్యేక మార్గం ద్వారా ధృవీకరించండి. Debian ఆధారిత చిత్రాలలో, దాన్ని /usr/local/share/ca-certificates/ కు కాపీ చేసి update-ca-certificates నడపండి; RHEL కుటుంబ చిత్రాలు ఫైల్‌ను /etc/pki/ca-trust/source/anchors/ లో ఉంచిన తర్వాత update-ca-trust ఉపయోగిస్తాయి. కంటైనర్ బిల్డ్‌లో, విఫలమయ్యే ఆదేశానికి ముందు ఆ దశలను జోడించండి, దానితో పొర ఆధారతల ఇన్‌స్టాల్ పైన కాష్ అవుతుంది.

స్థానిక devcontainer కోసం, PEM ను మౌంట్ చేసి ప్రారంభంలో అదే నవీకరణ ఆదేశాన్ని నడపండి, మరెవరూ పునరుత్పత్తి చేయలేని వ్యక్తిగత చిత్రంలో దాన్ని కాల్చేయడానికి బదులు. తమ సొంత బండిల్ తెచ్చే సాధనాలకు తమ సొంత నమోదిత ఓవర్‌రైడ్ అవసరం: pip లో ధృవపత్ర అమరిక ఉంది, npm లో cafile అమరిక ఉంది, మిగిలినవి చాలావరకు ప్రామాణిక పర్యావరణ చరాలను అంగీకరిస్తాయి.

ఇది ఏదైనా ధృవపత్రాన్ని అంగీకరించడంతో సమానం కాదు. తనిఖీ చేసే పక్షం నుండి పొందిన ఒక నిర్దిష్ట మూలాన్ని ఒక పర్యావరణంలో జోడిస్తున్నారు, మిగిలిన ప్రతి శృంఖలానికి ధృవీకరణ ఆన్‌లోనే ఉంటుంది. ఏ ఫైల్ జోడించబడింది మరియు ఎప్పుడు ముగుస్తుంది అని నమోదు చేయండి, ఎందుకంటే తనిఖీ మూలం మరే CA లాగానే పునరుద్ధరించబడుతుంది.

ధృవపత్రానికి ముందే హ్యాండ్‌షేక్ చనిపోయినప్పుడు

ఏదీ ప్రదర్శించబడకపోతే, ట్రస్ట్ స్టోర్‌లోని ఏ మార్పు సహాయపడదు. అదే అభ్యర్థనను సొరంగం ఆన్ మరియు ఆఫ్‌లో పోల్చి, తర్వాత openssl s_client -connect host:443 -servername host -showcerts తో శృంఖలాన్ని నేరుగా పరిశీలించండి. VPN వెలుపల పూర్తయి లోపల రీసెట్ అయ్యే కనెక్షన్ మధ్యవర్తి పరికరం తీసుకున్న విధాన నిర్ణయం, పరిష్కారం ఆ హోస్ట్‌కు మినహాయింపే, మరో ధృవపత్రం కాదు. ప్యాకేజీ రిజిస్ట్రీ లేదా API ముగింపు బిందువు మార్పు లేకుండా దాటనివ్వమని కోరండి.

సాధనం VPN ను దాటవేసేలా సొరంగాన్ని విభజించడం ఆ ట్రాఫిక్‌కు తనిఖీని తప్పిస్తుంది, అది విధానాన్ని ఉల్లంఘించవచ్చు మరియు సాధనాన్ని విశ్వసనీయం చేయదు.

ప్రతి సాధనానికి ఫలితాన్ని నమోదు చేయండి

బైనరీ, అది చదివే ట్రస్ట్ ఫైల్, ఆటలో ఉన్న పర్యావరణ చరం మరియు ఆమోదించిన మినహాయింపును జాబితా చేసే చిన్న గమనిక తదుపరి వ్యక్తికి మొత్తం నిర్ధారణను ఆదా చేస్తుంది. గమనికను ల్యాప్‌టాప్ ప్రకారం కాకుండా సాధనం ప్రకారం ఉంచండి, ఎందుకంటే మారిన విషయం ల్యాప్‌టాప్ అయ్యేది అరుదు.

మరియు టికెట్‌లో రెండు వాక్యాలను వేరుగా ఉంచండి: మేము ఒక నిర్దిష్ట కార్పొరేట్ మూలాన్ని ఇన్‌స్టాల్ చేశాము, మరియు మేము ధృవీకరణను ఆఫ్ చేశాము. వాటిలో ఒకటి మాత్రమే మద్దతు చర్య.