Mirror einrichten — GPG-Validierung & Setup

Anleitung zur sicheren Einrichtung aller Repositories mit GPG-Signaturprüfung

GPG-Schlüssel

Für APT-basierte Repositories (Debian, Ubuntu, Proxmox, Docker, FRR, Ceph) müssen die GPG-Schlüssel der jeweiligen Projekte auf dem System installiert sein, damit apt die Paketsignaturen verifizieren kann.

Für Standard-Distributionen (Debian, Ubuntu) sind die Schlüssel bereits vorinstalliert. Für Drittanbieter-Repos müssen die Schlüssel manuell importiert werden. Wir hosten alle benötigten Schlüssel unter /keys/ als Convenience-Kopie.

Debian

Debian-Systeme haben den Archiv-Schlüssel bereits vorinstalliert. Es reicht, die sources.list anzupassen:

Debian 12 (Bookworm)

Kopierendeb http://mirror.as47526.net/debian bookworm main contrib non-free non-free-firmware
deb http://mirror.as47526.net/debian bookworm-updates main contrib non-free non-free-firmware
deb http://mirror.as47526.net/debian-security bookworm-security main contrib non-free non-free-firmware

Kopierensudo tee /etc/apt/sources.list <<'EOF'
deb http://mirror.as47526.net/debian bookworm main contrib non-free non-free-firmware
deb http://mirror.as47526.net/debian bookworm-updates main contrib non-free non-free-firmware
deb http://mirror.as47526.net/debian-security bookworm-security main contrib non-free non-free-firmware
EOF
sudo apt update

Ubuntu

Ubuntu 24.04 (Noble) / 22.04 (Jammy)

Kopierendeb http://mirror.as47526.net/ubuntu noble main restricted universe multiverse
deb http://mirror.as47526.net/ubuntu noble-updates main restricted universe multiverse
deb http://mirror.as47526.net/ubuntu noble-security main restricted universe multiverse

Proxmox VE

Schritt 1: GPG-Key importieren

Kopierencurl -fsSL https://mirror.as47526.net/keys/proxmox-release-bookworm.gpg \
  | sudo tee /etc/apt/trusted.gpg.d/proxmox-release-bookworm.gpg > /dev/null

Schritt 2: Repository hinzufügen

Kopierenecho "deb http://mirror.as47526.net/proxmox/debian/pve bookworm pve-no-subscription" \
  | sudo tee /etc/apt/sources.list.d/pve-mirror.list
sudo apt update

Fingerprint verifizieren

F4E1 36C6 7CDC E41A E6DE 6FC8 1140 AF8F 639E 0C39

Offizieller Abgleich: pve.proxmox.com/wiki/Package_Repositories

Docker CE

Automatisch (Setup-Script)

Kopierencurl -fsSL https://mirror.as47526.net/docker-setup.sh | sudo bash

Manuell

Kopieren# GPG-Key (wird vom Original-Server geholt, nicht vom Mirror!)
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/debian/gpg \
  | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg

# Repository
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] \
  https://mirror.as47526.net/docker/linux/debian \
  $(. /etc/os-release && echo "$VERSION_CODENAME") stable" \
  | sudo tee /etc/apt/sources.list.d/docker.list
sudo apt update

Fingerprint verifizieren

9DC8 5822 9FC7 DD38 854A E2D8 8D81 803C 0EBF CD88

Offizieller Abgleich: docs.docker.com/engine/install

FRR (Free Range Routing)

Schritt 1: GPG-Key importieren

Kopierencurl -fsSL https://mirror.as47526.net/keys/frr.gpg \
  | sudo tee /etc/apt/trusted.gpg.d/frr.gpg > /dev/null

Schritt 2: Repository hinzufügen

Kopierenecho "deb http://mirror.as47526.net/frr bookworm frr-stable" \
  | sudo tee /etc/apt/sources.list.d/frr-mirror.list
sudo apt update

Fingerprint verifizieren

3D99 68AC 9AE7 BE11 6928 8DDB 1FD5 8398 95F5 7FDA

Offizieller Abgleich: deb.frrouting.org

Ceph

Schritt 1: GPG-Key importieren

Kopierencurl -fsSL https://mirror.as47526.net/keys/ceph-release.asc \
  | sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/ceph.gpg

Schritt 2: Repository hinzufügen

Kopierenecho "deb http://mirror.as47526.net/ceph/debian-reef bookworm main" \
  | sudo tee /etc/apt/sources.list.d/ceph-mirror.list
sudo apt update

Fingerprint verifizieren

08B7 3419 AC32 B4E9 66C1 A330 E84A C2C0 460F 3994

Offizieller Abgleich: docs.ceph.com

Arch Linux

In /etc/pacman.d/mirrorlist hinzufügen:

KopierenServer = http://mirror.as47526.net/arch/$repo/os/$arch

Fedora

Fedora nutzt DNF/YUM mit RPM-GPG-Signaturen. Die Schlüssel sind ab Installation vorhanden. Um diesen Mirror zu nutzen, eine Repo-Datei anlegen:

Kopierensudo tee /etc/yum.repos.d/as47526-mirror.repo <<'EOF'
[as47526-fedora]
name=Fedora $releasever - AS47526 Mirror
baseurl=http://mirror.as47526.net/fedora/releases/$releasever/Everything/$basearch/os/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-fedora-$releasever-$basearch
EOF
sudo dnf makecache

Rocky Linux

Kopierensudo tee /etc/yum.repos.d/as47526-mirror.repo <<'EOF'
[as47526-rocky-baseos]
name=Rocky Linux $releasever - BaseOS - AS47526 Mirror
baseurl=http://mirror.as47526.net/rocky/$releasever/BaseOS/$basearch/os/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-Rocky-$releasever
EOF
sudo dnf makecache

Alpine Linux

In /etc/apk/repositories:

Kopierenhttps://mirror.as47526.net/alpine/v3.23/main
https://mirror.as47526.net/alpine/v3.23/community

Sicherheitshinweise

Best Practices

• Deaktivieren Sie niemals gpgcheck oder --allow-unauthenticated
• Verifizieren Sie GPG-Fingerprints immer gegen die offizielle Projektdokumentation
• Nutzen Sie HTTPS wo möglich (alle unsere Repos sind auch über HTTPS erreichbar)
• Für APT: signed-by= in der sources.list ist sicherer als trusted.gpg.d
• Wenn ein apt update plötzlich Signatur-Fehler wirft, installieren Sie keine Pakete und prüfen Sie die Ursache

Abweichungen vom offiziellen Prozess

• GPG-Keys werden als Convenience-Kopie von unserem Server unter /keys/ bereitgestellt, nicht direkt von den Upstream-Servern
• Für Docker holen wir den Key bewusst direkt vom Upstream (download.docker.com), um eine Single-Point-of-Failure-Situation zu vermeiden
• Die Mirror-URLs nutzen HTTP statt HTTPS — die Paketintegrität ist durch GPG-Signaturen unabhängig vom Transportweg geschützt. HTTPS ist optional verfügbar.