Jou VPN-gateway het steeds 'n manier nodig om opdaterings te installeer

Die tonnel werk vir almal agter hom, die gateway stuur hul verkeer aan, en tog kan die masjien self nie 'n sekuriteitsopdatering installeer nie. Dit is die gewone vorm van die probleem: die aanstuurtoestemming is aan kliënte gegee, en die gateway se eie uitgaande verbindings is nooit in die plan ingesluit nie. Die pakketbestuurder maak sy eie sokkette oop, van die gateway af, na 'n bewaarplek wat jy waarskynlik nêrens in die brandmuurbeleid genoem het nie.

Dit is korrek om 'n gateway toe te sluit. Om dit so deeglik toe te sluit dat dit ophou om pleisters te ontvang, is 'n ander besluit, en gewoonlik 'n toevallige een.

Plaaslike uitset is nie kliënt-aansturing nie

Aanstuur-reëls beheer pakkette wat van elders aankom en deur die gateway vertrek. Die gateway se eie opdateringsverkeer pas nooit daarby nie; dit word plaaslik gegenereer en volg die uitsetpad. Daardie onderskeid verduidelik 'n fout wat onmoontlik lyk terwyl kliënttoegang perfek werk.

Dit verduidelik ook 'n beleidsgaping wat toetse oorleef, want 'n vinnige kontrole van 'n skootrekenaar agter die tonnel bewys dat die aanstuurketting werk en sê niks oor die gasheer se eie verbindings nie. Behandel die gateway as twee subjekte: 'n roeteerder met 'n aanstuurketting en 'n gasheer met 'n uitsetketting. Albei het 'n mening nodig, en gewoonlik word net een daarvan neergeskryf.

Benoem die stadium wat gefaal het

Opdateringsfoute benoem verskillende grense, en om na 'n poortreël te gryp voordat jy lees watter een gefaal het, kos 'n middag. 'n Bewaarpleknaam wat nie oplos nie, is 'n resolver-vraag, nie 'n vervoervraag nie.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

'n Tydverstreke na 'n suksesvolle opsoeking verskuif die vraag na vervoer: watter adres, watter poort en watter gekonfigureerde proxy die pakketbestuurder werklik probeer het. 'n TLS-verifikasiefout is 'n derde, heeltemal ander ding, en dit beteken die verbinding het goed genoeg gewerk om te onderhandel. 'n Klagte oor argief-verifikasie is die vierde stadium, en dit gaan oor ondertekende metadata eerder as bereikbaarheid. Vier stadiums, vier verskillende herstellings, en 'n ping beskryf altyd net een protokol wat geen pakketbestuurder gebruik nie.

Lees die bronnelys voordat jy 'n reël byvoeg

Lys die werklike bron-URI's en die effektiewe proxy-konfigurasie, nie dié wat jy onthou nie. 'n Reël wat vir gewone HTTP geskryf is, is nutteloos wanneer die bron HTTPS is, en 'n proxy wat die skulp ken, kan onsigbaar wees vir 'n diens wat by die opstart met 'n ander omgewing begin word.

Die dokumentasie oor HTTP-vervoer in APT dek omgewings- en APT-spesifieke proxy-instellings, insluitend keuses per gasheer, en sy HTTPS-vervoer het sy eie verifikasie-instellings. Die pad wat 'n blaaier neem en die pad wat die pakketbestuurder neem, is aparte paaie, selfs op dieselfde masjien.

Let op na watter families die bronne oplos. 'n Reël wat net IPv4 toelaat, sal aanhou faal op 'n gasheer wie se bronne 'n AAAA-rekord verkies, en die fout lyk wisselvallig omdat dit afhang van watter antwoord eerste aankom.

Kies een instandhoudingspad en hou daarby

Daar is drie verdedigbare opsies: instandhoudingsverkeer deur die tonnel, deur 'n bestuurde opdateringsproxy of deur 'n smal direkte uitsondering. Kies een doelbewus en maak seker die resolver stem saam, want 'n verdeling waar name een kant toe oplos en verbindings 'n ander kant toe gaan, lewer foute wat niemand kan verduidelik nie.

Wat jy ook al kies, dit mag nie 'n onbeperkte terugvalopsie word nie. As direkte uitgaande verkeer verbode is wanneer die tonnel af is, is 'n instandhoudingsuitsondering wat stilweg alles toelaat, 'n beleidsverandering vermom as 'n regstelling. Hou die tonnel se eie eindpunt en bootstrap-behoeftes in 'n aparte kategorie van bewaarplektoegang, want hulle wys na verskillende bestemmings en faal op verskillende maniere, so een vrystelling kan nie die ander dek nie.

Verifieer sonder om die kontroles te verswak

Pas die omvang toe deur die brandmuur wat die beleid reeds besit, eerder as om 'n tweede bestuurder by te voeg omdat een gids dit gebruik het. Hardloop dan 'n metadata-verfrissing en een werklike pakkettransaksie onder die onderhoue beleid, en lees die uitset eerder as net die uittredestatus.

Suksesvolle vervoer is nie toestemming om die verifikasie te verslap nie. Argief-verifikasie en die TLS-bediener se identiteit is aparte waarborge, en om enigeen daarvan af te skakel om 'n fout stil te maak, verander wat jy vertrou, nie wat jy kan bereik nie.

Sluit af deur die geval sonder tonnel doelbewus te toets. Om te weet hoe die gateway sonder sy tonnel optree, is deel van die ontwerp; om dit tydens 'n onderbreking te ontdek, is nie. Haal die tonnel af, hardloop die metadata-verfrissing en bevestig dat die gasheer op die beoogde manier faal eerder as om stilweg terug te val na 'n oop pad. Hou bewaarplek- en proxy-aanmeldings uit gedeelde diagnostiek en los 'n nota wat noem wie die opdateringspad besit.