APT можа спампоўваць пакеты, але ключ подпісу не прыходзіць
Спампоўка з рэпазіторыя і атрыманне ключа подпісу могуць выкарыстоўваць розныя праграмы і налады проксі. Папраўце шлях спампоўкі, не паслабляючы давер да пакетаў.
Працоўная налада Acquire::http::Proxy мала што даказвае пра няўдалую спампоўку ключа подпісу, пакуль вы не ведаеце, якая праграма бярэ ключ.
Старыя інструкцыі з apt-key adv ідуць праз шлях сервера ключоў GnuPG. Іншыя спосабы наладкі спампоўваюць ключ праз curl або браўзер. Гэтыя праграмы не ўсе чытаюць уласную канфігурацыю проксі APT.
Для запыту да сервера ключоў GnuPG
GnuPG выкарыстоўвае dirmngr для адпаведных сеткавых аперацый. Яго дакументаваныя параметры ўключаюць honor-http-proxy і яўную наладу http-proxy; яўная налада перавышае зменную асяроддзя. Праверце хатні каталог і ўліковы запіс GnuPG, якія рэальна выкарыстоўваюцца, асабліва для каманды з прывілеямі.
Праверце таксама URL сервера ключоў. Уласнае злучэнне з серверам ключоў не тое ж, што HTTPS-запыт для таго ж ключа. Доступ праз браўзер праз HTTP-проксі не дае дазволу на асобнае прамое злучэнне з портам сервера ключоў.
Трымайцеся актуальнага спосабу ўсталявання ад выдаўца
Не адраджайце састарэлую каманду глабальнага даверу, каб паправіць сеткавы доступ. Актуальныя інструкцыі выдаўца павінны паказваць крыніцу ключа і прызначаны ключавы набор. Калі яны выкарыстоўваюць спампоўку праз HTTPS, наладзьце HTTP-кліент, які робіць гэты запыт. Там, дзе выдавец публічна даступны і публічныя пасрэднікі дазволены, спіс HTTP-проксі прапануе кандыдатаў на канчатковыя пункты; праверка адбітка застаецца асобным патрабаваннем.
Пацвердзіце поўны чаканы адбітак ключа праз інфармацыю выдаўца. Спампаваны файл, супадаючая паказаная назва або вынік пошуку не ўстанаўліваюць асобу. Для змены ключа выкарыстоўвайце актуальны дакументаваны працэс замены.
Параметр APT Signed-By можа звязаць гэты рэпазіторый з пэўным ключавым наборам замест надання агульнага даверу паміж крыніцамі. Праверце патрабаваны фармат і пашырэнне ключавога набору, затым пераканайцеся, што ўліковы запіс атрымання можа чытаць файл і праходзіць бацькоўскія каталогі. Адзін адміністрацыйны доступ не даказвае гэтага дазволу.
Хай памылка пакажа наступную праверку
- Тайм-аўт тычыцца маршруту спампоўніка або дасяжнасці канчатковага пункта.
- Проксі-запыт тычыцца яго ўліковага запісу і падтрыманага метаду.
- Нясходка адбітка — гэта збой даверу пасля дастаўкі.
- Пазнейшая памылка подпісу APT можа тычыцца шляху ключавога набору або сувязі з рэпазіторыем.
Вырашыце гэты этап, захаваўшы праверку подпісу. Адключэнне яе прыбрала б праверку, якую налада ключа подпісу павінна забяспечваць.