[gelöst]Package not verified due a communication issue with verification server!

thomas91 · Post by **thomas91** » 25 Feb 2015, 09:26

Hallo Forum,

ich habe das Problem das nach der Installation von OTRS 4 in der Paketverwaltung immer folgende Meldung erscheint:

Package not verified due a communication issue with verification server!

Da ich vorher die

Meldung: 500 Can't connect to ftp.otrs.org:80 (timeout)

hatte und erfolgreich mit dem beitrag hier gelöst habe: viewtopic.php?t=15729

Ich weis das ihr alle sagt das es ein Proxy Problem ist, aber im Log steht folgendes wenn ich die Paketverwaltung öffne:

Code: Select all

2015:02:25-08:07:18 proxy httpproxy[30053]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="IP" dstip="178.63.12.4" user="" ad_domain="" statuscode="200" cached="4" profile="REF_HttProInterNetzeOhne (Interne Netze (ohne Auth))" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="215" request="0x478a4d70" url="http://ftp.otrs.org/pub/otrs/misc/packages/repository.xml" exceptions="" error="" authtime="0" dnstime="53" cattime="41092" avscantime="1530" fullreqtime="94392" device="0" auth="0" category="165" reputation="neutral" categoryname="Technical/Business Forums" content-type="application/xml"

Die angebene URL im Proxy-Log kann ich auch öffnen. Gibt es eine weitere URL die für die Verifizierung zuständig ist? oder hat noch jemand eine Idee wie ich das Lösen kann?

jojo · Post by **jojo** » 25 Feb 2015, 10:20

https://cloud.otrs.com und https://pav.otrs.com

thomas91 · Post by **thomas91** » 25 Feb 2015, 10:57

Sind beide URL´s erreichbar.

Edit:
Die OTRS-Neuigkeiten bekommen auch keine Verbindung:
Can't connect to OTRS News server!

Rooobaaat · Post by **Rooobaaat** » 25 Feb 2015, 21:00

Was sagt denn ein telnet cloud.otrs.com 443 oder telnet pav.otrs.com 443 vom Linux-System?

Hast du im OTRS deinen Proxy konfiguriert?

thomas91 · Post by **thomas91** » 26 Feb 2015, 11:28

Rooobaaat wrote:Was sagt denn ein telnet cloud.otrs.com 443 oder telnet pav.otrs.com 443 vom Linux-System?

Hast du im OTRS deinen Proxy konfiguriert?

Vielen Dank für die Antwort und deine Hilfe!
Proxy wurde unter Sysconfig Core::WebUserAgent eignetragen

Code: Select all

telnet cloud.otrs.com 443

Hat einen Timeout gebracht. Nachdem ich dann eine Regel auf der Firewall erstellt habe ging es:
OTRS Server --https/Telnet --> DNS-Hostobjekt cloud.otrs.com DNS-Hostobjekt pav.otrs.com

OTRS-Neuigkeiten
Can't connect to OTRS News server!

Was wird hier genau benötigt?

jojo · Post by **jojo** » 26 Feb 2015, 11:31

eigentlich das gleiche. lösch mal die OTRS caches und probier es nochmal

thomas91 · Post by **thomas91** » 26 Feb 2015, 12:13

Danke jojo! Cache löschen hat geholfen

Für die Doku:

Code: Select all

root@OTRS:~# cd /opt/otrs
root@OTRS:/opt/otrs# bin/otrs.DeleteCache.pl
otrs.DeleteCache.pl - delete OTRS cache
Copyright (C) 2001-2015 xxx, http://otrs.com/

Deleting cache... Done.

TheDude · Post by **TheDude** » 13 Mar 2015, 13:27

Habe hier das selbe Problem, allerdings mit dem Zusatz, dass ich mit dem Server nicht ins Internet komm und dies auch nicht gewünscht ist. Gibt es eine Möglichkeit das offline zu verifizieren?

RStraub · Post by **RStraub** » 13 Mar 2015, 13:45

Entweder offline oder verifizieren

Es gibt von der c.a.p.e. IT allerdings ein Paket (ConfigureCallHome) das die Verifizierung ganz deaktiviert.
Zu finden unter ihrer Homepage:
http://www.cape-it.de/de/download-otrs- ... odule.html

Allerdings scheint das noch nicht nach 4.x migriert worden zu sein.

reneeb · Post by **reneeb** » 13 Mar 2015, 13:45

TheDude · Post by **TheDude** » 16 Mar 2015, 08:24

Also "Nein" halte ich jetzt mal für ausgeschlossen, da es bei der Installation im letzten Jahr auch ging. Hat damals der OTRS-Techniker selber gemacht, den wir hier für die Einführung hatten.

jojo · Post by **jojo** » 16 Mar 2015, 08:44

Nein, ist ausgeschlossen. Es gibt für OTRS4 nur eine online Verifizierung. In OTRS 3.3. war das Verhalten anders, hier wurden alle Pakete als verifiziert angezeigt wenn keine Verbindung zustandekam

TheDude · Post by **TheDude** » 16 Mar 2015, 09:02

Ah, dann ist da der Unterschied. Das war damals ja noch 3.3.6.

Ist denn der Fall nicht bedacht worden, dass ein Server im Intranet, aber nicht im Internet erreichbar sein soll?

jojo · Post by **jojo** » 16 Mar 2015, 09:41

Für updates etc muss der Server doch sowieso in das Internet. Da die Kommunikation per https zu 2 definierten hosts stattfindet sehe ich da kein Problem

schulmann · Post by **schulmann** » 17 Mar 2015, 21:15

jojo wrote:Für updates etc muss der Server doch sowieso in das Internet.

Soweit ich weiss konnte man die Pakete auf beliebigem Wege herunterladen und dann installieren.
Geht das nicht (mehr)?

jojo · Post by **jojo** » 17 Mar 2015, 21:18

für ein großen Teil der Pakete geht das immer noch manuell. Was ist aber mit Betriebssystemupdates etc?

schulmann · Post by **schulmann** » 17 Mar 2015, 21:49

jojo wrote:Was ist aber mit Betriebssystemupdates etc?

Fürs OS gibt es einen Update-Server.
Dann müssen wir auch keine HTTP-Proxy-Authentifikation (die keiner Person direkt zugeordnet werden kann und für die sich somit auch niemand verantwortlich fühlt und bei Missbrauch den Verursacher schützt) auf dem OTRS-Server eintragen.

jojo · Post by **jojo** » 17 Mar 2015, 22:53

dann kannst Du keine Clouddienste wie z.B. die Paketverifizierung nutzen

schulmann · Post by **schulmann** » 17 Mar 2015, 23:43

jojo wrote:dann kannst Du keine Clouddienste wie z.B. die Paketverifizierung nutzen

Zur Vermeidung von Irritationen sollte dann die Paketverifizierung abschaltbar sein.

Ich hole mal weiter aus: Warum macht ihr die Verifikation nicht wie z. B. bei openSUSE: Man hinterlegt für jedes Repository entsprechende Verifikationsinformationen wie z. B. einen Public Key des Lieferanten und bekommt bei der Installation - und nur bei der Installation, also nicht bei jedem Aufruf das Package Managers - eines nicht verifizierten Pakets eine entsprechende Warnung.

Rooobaaat · Post by **Rooobaaat** » 18 Mar 2015, 08:40

Das wurde halt damals so gelöst....
Es gibt aber auch Addons (von anderen Dienstleistern) die dieses CallHome deaktivieren....

schulmann · Post by **schulmann** » 18 Mar 2015, 10:14

Rooobaaat wrote:Es gibt aber auch Addons (von anderen Dienstleistern) die dieses CallHome deaktivieren....

Dann fehlt aber die Paketverifikation komplett.

Ich lege dazu jetzt einfach mal meine subjektive Meinung dar (bitte korrigieren falls ich etwas falsch verstanden habe).

Die jetzige Paketverifikation erfüllt nur einen Zweck: Ausgabe einer permanenten Warnung im Package Manager bei Software von Drittanbietern.

Der eigentliche Zweck einer Paketverifikation sollte nach meiner Meinung der Schutz gegen untergeschobene Software sein.
Da kann ich bei OTRS im Moment keine einzige wirksame Massnahme erkennen weil schon das OTRS-Grundsystem nur über Klartext-FTP heruntergeladen werden kann und damit alle weiteren Verifikationen hinfällig sind.

Nochmal die Frage: Warum orientiert sich OTRS nicht an der Paket-Verifikation von z. B. openSUSE?

jojo · Post by **jojo** » 18 Mar 2015, 10:38

Drittanbieter können die Software auch verifizieren lassen. Die Verifikation dient u.a. dazu einen gewissen Qualitätsstandard des Codes für den Anwender aufzuzeigen.

Nicht jeder der Pakete baut hat ein tiefes Perl und OTRS Wissen. Die meisten Anwender/Admins schon gar nicht. Sicher gibt es da viele Aussnahmen, aber auf diese zielt die Maßnahme auch nicht.

Eine Möglichkeit für das Framework wäre sicher die (erneute) Veröffentlichung der md5 Summen der Pakete.

RStraub · Post by **RStraub** » 18 Mar 2015, 10:56

@Schulmann, da hast du recht, les dir mal den offenen Brief hier durch:
viewtopic.php?f=34&t=21161&p=83705&hili ... ief#p83705

Das wird, denke ich, deine Meinung treffen.

schulmann · Post by **schulmann** » 18 Mar 2015, 12:18

jojo wrote:Die Verifikation dient u.a. dazu einen gewissen Qualitätsstandard des Codes für den Anwender aufzuzeigen.

Die Beurteilung der Code-Qualität ist subjektiv.
Allein schon deshalb ist diese Verifikation für uns praktisch ohne Bedeutung und führt somit direkt zur Frage: Wie kann ich sie mit Bordmitteln abschalten?

Eine Möglichkeit für das Framework wäre sicher die (erneute) Veröffentlichung der md5 Summen der Pakete.

Meinen Arbeitgeber - und auch mich - interessiert vorrangig der Schutz gegen untergeschobene Software.
Ich sehe nicht wie die xxx seine Kunden dabei wirksam unterstützt.

schulmann · Post by **schulmann** » 18 Mar 2015, 12:23

RStraub wrote:les dir mal den offenen Brief hier durch:
viewtopic.php?f=34&t=21161&p=83705&hili ... ief#p83705

Das ist hauptsächlich die - sehr berechtigte - Sicht der Drittanbieter.
Da mich vorrangig die Kundensicht interessiert bin ich nur darauf eingegangen.

Nach meiner Meinung wird die Paketverifikation aber weder den Drittanbietern noch den OTRS-Kunden gerecht.
Vermutlich handelt sich die xxx damit sogar deutlich mehr Nach- als Vorteile ein, vor allem bei ihren technisch versierten Support-Kunden.

jojo · Post by **jojo** » 18 Mar 2015, 12:24

mit Bordmitteln lässt sie sich aus gutem Grunde nicht abschalten. Es gibt ausreichende Methoden um sich gegen unter geschobene Sowftware zu schützen. Aber das würde hier zu weit führen, aber Du kannst gerne Kunde werden und ein paar Tage Consulting investieren um es gezeigt zu bekommen.

DIe Beurteilung der Code Qualität ist nicht subjektiv. Es gibt Coding Standards die überprüft werden.

schulmann · Post by **schulmann** » 18 Mar 2015, 12:52

jojo wrote:mit Bordmitteln lässt sie sich aus gutem Grunde nicht abschalten.

Tut mir leid, aber welcher gute Grund ist das?
Die Code-Qualität kann es nicht sein, da ich als Admin diese ganz bewusst abnicke.

Es gibt ausreichende Methoden um sich gegen unter geschobene Sowftware zu schützen.

Das mag sein.
Aber warum unterstützt die Software das nicht out of the box?

DIe Beurteilung der Code Qualität ist nicht subjektiv. Es gibt Coding Standards die überprüft werden.

In diesem Fall könnte man das automatisiert auf dem OTRS-Server des Kunden abhandeln.
Wieso telefoniert OTRS dann nach Hause?

Znuny Open Source Ticketsystem