Aber es ist sicherheitstechnisch schon ein Unterschied, ob ich ein Binary-RPM ungeprüft von irgendwo her ziehe oder das Package aus der Source selbst baue.
Wieso? Hast du die Source überprüft? Hast du das Programm Zeile für Zeile überprüft? Woher nimmst du die 100prozentige Gewissheit, das eine Source nicht kompromittiert ist?
Dein Vergleich hinkt!
Wieso? Hast du die Source überprüft? Hast du das Programm Zeile für Zeile überprüft?
Natürlich lese ich die Original-Source nicht komplett. Aber bei den home-Repos prüfe ich zumindest, ob der Hash-Wert mit dem der Original-Source von openvpn.net übereinstimmt - gerade weil VPN sicherheitskritisch ist. Deshalb binde ich die Home-Repos auch nicht dauerhaft ein, sondern baue selber.
Mir geht es im wesentlichen um die Distro-spezifischen Patches, z.B. unterschiedliche Pfade zu den config-Files. Sonst würde ich direkt aus der Original-Source bauen ...
Also hier mal nachgestellt in einer neuen Slowroll Maschine.
Gleiche Problem wie du.
Somit hat sich dort etwas geändert.
Was mir aber aufgefallen ist:
Slowroll benutzt nur eine rudimentäre zypp.conf mit den Einstellungen zu multiversion.
Schau mal in /etc/zypp/ bzw. /usr/etc/zypp/ nach....
Bei meiner Leap 15.6:
# grep -Pv '^#|^$' /etc/zypp/zypp.conf
[main]
multiversion = provides:multiversion(kernel)
multiversion.kernels = latest,latest-1,runningBei Slowroll ist der Inhalt gleich - nur steht die Config jetzt unter /usr/etc (warum schieben die Leute ständig ohne Not die config-Files durch die Gegend 
) :
# grep -Pv '^#|^$' /usr/etc/zypp/zypp.conf
[main]
multiversion = provides:multiversion(kernel)
multiversion.kernels = latest,latest-1,runningJetzt wird es noch bunter: Meine Multimedialibs (libavcodec etc.) wurden immer wieder lustig up- und downgegraded. Daher habe ich ein "zypper dup --allow-vendor-change" laufen lassen, damit sich Slowroll- und Packman-Repos mal über die Zuständigkeiten einigen können.
Und prompt wurde mein aktuelles openvpn-Package wieder durch die alte Version aus dem OpenSuSE-Repo ersetzt (trotz lokalem Repo-Verzeichnis) 
Jetzt wird es noch bunter: Meine Multimedialibs (libavcodec etc.) wurden immer wieder lustig up- und downgegraded. Daher habe ich ein "zypper dup --allow-vendor-change" laufen lassen, damit sich Slowroll- und Packman-Repos mal über die Zuständigkeiten einigen können.
Und prompt wurde mein aktuelles openvpn-Package wieder durch die alte Version aus dem OpenSuSE-Repo ersetzt (trotz lokalem Repo-Verzeichnis)
Dein Rechner macht genau das, was du ihm sagst. Aber vielleicht nicht das, was du eigentlich willst.
Auf meinem Leap-16.0 Rechner hätte ich in deinem Fall als Beispiel das Folgende gemacht:
sudo zypper dup --allow-vendor-change --allow-downgrade --from https://ftp.gwdg.de/pub/linux/misc/packman/suse/openSUSE_Leap_16.0/Dein Rechner macht genau das, was du ihm sagst. Aber vielleicht nicht das, was du eigentlich willst.
Für mich heisst "zypper dup --allow-vendor-change", dass zypper die neueste Version nehmen soll, auch wenn sie von einem anderen Vendor kommt. Es heisst definitiv nicht, nimm immer alles von OpenSuSE, auch wenn es alter Scheiß ist 
Zudem gibt es keinen Anlass openvpn downzugraden, alle Dependencies meines aktuellen Packages sind erfüllt.
Ich wollte nur darauf hinweisen, dass --from https://ftp.gwdg.de/pub/linux/…n/suse/openSUSE_Slowroll/
bei mir dazu führt, dass nur Pakete, die sich in diesem Repo befinden, angefasst werden. Natürlich bleiben dabei auch lokalen Repos unberührt. Oder gibt es etwa openvpn im packman-Repo?
