Ubuntu-PPAs und Ubuntu-Keyserver nicht erreichbar

[Rüdiger Kupper]

Hallo Jens,
ich versuche seit einer Stunde, einfach nur die beim Intel-Bug angegebenen Paketarchive zu aktivieren, doch scheitere immer wieder am Proxy.

1. Der empfohlene Weg funktioniert nicht:

   sudo add-apt-repository ppa:glasen/intel-driver
   Traceback (most recent call last):
     File "/usr/bin/add-apt-repository", line 88, in <module>
       ppa_info = get_ppa_info_from_lp(user, ppa_name)
     File "/usr/lib/python2.7/dist-packages/softwareproperties/ppa.py", line 80, in get_ppa_info_from_lp
       curl.perform()
   pycurl.error: (7, 'Failed to connect to 91.189.89.223: Network is unreachable')
   

2. Ich kann die Adresse zwar von Hand in die sources.list eintragen, doch dann brauche ich noch immer den PGP-Schlüssel von keyserver.ubuntu.com, und der ist ebenfalls nicht erreichbar:

   sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 066ADE1D
   Executing: gpg --ignore-time-conflict --no-options --no-default-keyring --secret-keyring /tmp/tmp.qDEDRk6nmp --trustdb-name /etc/apt/trustdb.gpg --keyring /etc/apt/trusted.gpg --primary-keyring /etc/apt/trusted.gpg --keyserver keyserver.ubuntu.com --recv-keys 066ADE1D
   gpg: requesting key 066ADE1D from hkp server keyserver.ubuntu.com
   ?: keyserver.ubuntu.com: Network is unreachable
   gpgkeys: HTTP fetch error 7: couldn't connect: Network is unreachable
   gpg: no valid OpenPGP data found.
   gpg: Total number processed: 0
   

• Die Keyserver verwenden Port 11371
• das apt-add-repository greift vermutlich über https auf launchpad.net zu

Kannst Du rausfinden, warum die Zugriffe nicht funktionieren? Ich wäre gerne in der Lage, Paketquellen mit apt-add-repository hinzuzufügen.

[Rüdiger Kupper]

Das hier sollte z.B. im Browser funktionieren:
​http://keyserver.ubuntu.com:11371/pks/lookup?search=0x60F8DC87DD22304528F5AB6F0F2D1009066ADE1D

[Rüdiger Kupper]

Kann man den Port, den die Keyserver verwenden, nicht generell freischalten (11371)? Dieser Port ist bei der IANA offiziell als Port für OpenPGP-Keyserver gelistet.

Referenzen:

• ​wikipedia:List_of_TCP_and_UDP_port_numbers
• ​wikipedia:Internet_Assigned_Numbers_Authority
• ​http://www.iana.org/

[Rüdiger Kupper]

Hallo Jens,
habe eben erst gesehen, dass Du dieses Ticket gar nicht erhalten hattest :-).

[Rüdiger Kupper]

Ich hätte gerne die Möglichketi, Paketquellen mit apt-add-repository hinzuzufügen. Dazu muss

• https nach launchpad.net erlaubt sein (müsste inzwischen gehen, oder)
• der Port 11371 offen sein.

[bau]

Wow, das hat aber lange gedauert, bis ich diese BOT-Regel im IPCOP eingetragen hatte.
Wenn der 10.32.1.254 als Gateway eingetragen ist leitet der die Anfrage direkt an den Port 11371.

[Rüdiger Kupper]

Hm, der Zugriff funktioniert noch nicht. Der folgende Befehl sucht nach meinem GPG-Schlüssel auf einem Keyerver über Port 11371:

linadmin@ltsp118:~$ gpg --search-keys --keyserver hkp://keys.gnupg.net:11371 kupper

gpg: Suche nach »kupper« auf hkp-Server keys.gnupg.net
?: keys.gnupg.net: Network is unreachable
gpgkeys: HTTP search error 7: couldn't connect: Network is unreachable
gpg: Schlüssel »kupper« wurde auf dem Schlüsselserver nicht gefunden
gpg: Interner Schlüsselserverfehler
gpg: Suche auf dem Schlüsselserver fehlgeschlagen: Schlüsselserverfehler

Wenn der 10.32.1.254 als Gateway eingetragen ist

Wo müsste der denn eingetragen sein? In der /etc/network/interfaces steht überhaupt kein Gateway.

[bau]

OK, wir haben die LTSP bislang ohne Eintrag eines Gateways bertrieben. Alles läuft über die Proxy-Server oder intern im Netz. Wenn die Server einen anderen Port nach draußen ansprechen sollen, so muss ihnen erstmal die Default-Route also das Gateway angegeben werden. Hier ist dann der IPCop nötig. Ich denke, das muss in der /etc/network/interfaces angegeben werden:

  gateway 10.32.1.254

[bau]

Ah schön, der direkte Test geht auch:

  route add default gateway 10.32.1.254 eth0

und schon funktioniert der Aufruf von

   gpg --search-keys --keyserver hkp://keys.gnupg.net:11371 kupper

[Rüdiger Kupper]

Gut!
Aber wie hat das dann bisher funktioniert, ohne gateway-Eintrag? Wohin haben die Server denn ihre Anfragen geschickt?

-> Todo::

• gateway-Eintrag in die /etc/network/interfaces auf allen Servern schreiben
• Ltsp-Setup-Skript entsprechend anpassen

[Rüdiger Kupper]

• Eintrag auf den LtspServern hinzugefügt
• Eintrag im Setup-Skript hinzugefügt (changeset:466/keplertools)

[Rüdiger Kupper]

Frage: Was macht eigentlich der Eintrag "network 10.32.0.0" in der /etc/network/interfaces?

[Rüdiger Kupper]

Schön! add-apt-repository funktioniert jetzt auch und lädt den nötigen Schlüssel direkt herunter.

[Rüdiger Kupper]

Das Problem scheint beim ipfire wieder da zu sein: Anfragen an Schlüsselserver (port 11371) kommen nicht durch. Kannst Du den Port freischalten?

[Rüdiger Kupper]

PS: Ich habe leider das Passwort für das Webinterface nicht (​https://ipfire:444).

[Rüdiger Kupper]

Vergiss das PS, ich hab das Passwort gefunden ;-).

[Rüdiger Kupper]

Okay, ich habe in der Firewall-Regel für die erlaubten Ports aus dem grünen Netz nach außen jetzt den Port 11371 hinzugefügt -- der Keyserver-Lookup funktionier dennoch nicht.

Test:

 gpg --search-keys --keyserver hkp://keys.gnupg.net:11371 kupper

[Rüdiger Kupper]

Hinweis

Wenn man setzt export https-proxy=https://10.32.1.253:3128, dann funktioniert das Hinzufügen von PPA über apt-add-repository.

[Rüdiger Kupper]

Bleibt trotzdem die Frage, wie man für die Nutzer im grünen Netz einen Port freischaltet?

[bau]

Nun, es kommt immer drauf an, welche Route der betroffene Rechner in das Netz nimmt. Handelt es sich um einen aufgenommenen Client, so ist der ipFire die Richtige Adresse, ist es ein LTSP/Client, so geht die Route über den proxys! Dabei bringt es dann nichts, den Port im ipFire freizugeben, die Route geht nicht über ihn!

[Rüdiger Kupper]

Okay, dann muss ich das auf dem proxys machen -- wo gehört da der
Eintrag hin?

Am 28.10.2013 17:09, schrieb Kepler-Trac:

[bau]

GPG kann anscheinend so konfiguriert werden, dass es auch hinter einem Proxy funktioniert:

​http://de.wikibooks.org/wiki/GnuPG:_GnuPG_benutzen

[Rüdiger Kupper]

Tatsächlich horchen die meisten Schlüsselserver außerdem auch noch auf
Port 80, man muss den Port dann nur explizit angeben.

Am 31.10.2013 20:53, schrieb Kepler-Trac:

[jas]

ist das Ticket noch gültig?

[Rüdiger Kupper]

Muss ich testen.

[jas]

Scheint zumindest nicht akut zu sein. ICh schließe d. Ticket mal.