Opdatering van die VPN-grendel misluk: lees eers watter stap dit is voordat jy die uitgang oopmaak
’n Mislukte opdatering noem ’n stap, nie ’n ontbrekende poort nie. Pas die boodskap by sy eienaar, lees die instaanbediener-pad en besluit dan doelbewus oor die onderhoudsbeleid.
Om te weier om sekuriteitsopdaterings te installeer, is net een slegte week weg daarvan om iemand anders se probleem te word, en ’n grendel wat kliënte toelaat, is die maklikste plek om daardie gewoonte te ontwikkel. Die gewone oorsaak is nie ’n ontbrekende roete nie, maar ’n ontbrekende besluit: niemand het gesê hoe die gasheer self ’n bewaarplek moet bereik wanneer kliënt-deurvoering doelbewus nou is nie. Daardie besluit moet uitdruklik geneem word, en dit moet nouer wees as om die uitgangsbeleid vir ’n middag af te skakel.
Vier fases, vier verskillende eienaars
’n Opdateringsfout is ’n benoemde fase, of die boodskap dit sê of nie, en elke fase behoort aan ’n ander eienaar. ’n Naam wat nie opgelos kan word nie, is ’n vraag vir die oplosser. ’n Verbinding wat na ’n tydlimiet verstryk, is ’n vraag vir vervoer, instaanbediener of die verre kant. ’n TLS-identiteitsfout is ’n vertrouensvraag, en verwerpte argiefmetadata is ’n ondertekeningsvraag. Vier fases, vier eienaars, en ’n poortreël beantwoord altyd net een daarvan.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping en naamoplossing is die twee toetse waarna mense eerste gryp, en albei beantwoord vrae wat niemand gevra het nie. ’n Eggo-antwoord gebruik ’n ander protokol as die bewaarplek-verbinding, en ’n suksesvolle opsoek stop by naamoplossing sonder om die herwinning te toets. Enigeen kan slaag terwyl die werklike transaksie misluk, en enigeen kan misluk om redes wat niks met die roete te doen het nie.
Lees die roete wat die bestuurder werklik volg
Ondersoek die gekonfigureerde bron-URI’s en die werklike instaanbediener-reëling in plaas daarvan om enigeen te aanvaar. ’n Reël wat vir gewone HTTP geskryf is, is nie ’n herstelling wanneer die bewaarplek HTTPS praat nie, en ’n organisasie wat ’n instaanbediener verplig, het die roete reeds gekies. Pakketbestuurders respekteer omgewingsveranderlikes en hul eie konfigurasie, en gasheerspesifieke instellings kan ’n globale een oorheers. Wat ’n interaktiewe blaaier doen, hoef nie te wees wat die bestuurder doen nie.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyDie APT-vervoerdokumentasie beskryf watter instellings vir watter URI-skema geld en hoe gasheerspesifieke keuses geskryf word. Hou die opdraguitset by die kaartjie, want dit skei ’n instaanbediener-probleem vinniger van ’n ontbrekende roete as enige aantal ping-uitslae. Skryf die presiese bestemming, poort en protokol neer wat die bestuurder probeer, en laat die firewall-verandering op daardie rekord rus eerder as op ’n gerate spieël-adres wat binne maande verouder.
Kies ’n onderhoudsbeleid, nie ’n uitsondering nie
Drie beleide is verdedigbaar: onderhou deur die tonnel, onderhou deur ’n bestuurde opdaterings-instaanbediener, of onderhou deur ’n nou gemagtigde direkte roete. Elkeen impliseer ’n oplosser-reëling wat daarby pas. Wat nie verdedigbaar is nie, is ’n uitsondering wat stilweg ’n onbeperkte terugval word wanneer die tonnel af is.
Skryf die gekose beleid met ’n eienaar neer, want die volgende operateur sal die reël vind en nie die redenasie daaragter nie. Pas die toestemming toe deur die bestaande firewall en die netwerk-eienaar eerder as om reëls te spoel of ’n tweede beleidsbestuurder vir een gasheer by te voeg. Dek die adresfamilies en dienspunte wat die werklike bron gebruik, en hersien die lys wanneer die bewaarplek verskuif.
Verifieer sonder om vertroue te verswak
Vervoersukses is nie toestemming om verifiëring te verslap nie: argief-verifikasie en TLS-bedieneridentiteit is twee afsonderlike kontroles, en om een van hulle af te skakel laat ’n fout verdwyn terwyl dit verander wat die gasheer sal aanvaar. ’n Onderskeppende instaanbediener is ’n vertrouensbesluit van die netwerk-eienaar eerder as ’n rede om die kontrole plaaslik af te skakel, en bewaarplek-geloofsbriewe hoort nie in gedeelde diagnostiek nie, want ’n uitvoerige log is die maklikste plek om hulle te lek.
Aanvaar die verandering met ’n beheerde metadata-herwinning gevolg deur een goedgekeurde pakkettransaksie, en toets dan wat gebeur wanneer die tonnel val. ’n Onderhoudsroete wat stilweg verbreed tydens ’n onderbreking is slegter as een wat geslote faal, en die resultaat moet ’n opdateringsroete wees met ’n benoemde eienaar en ’n begrensde omvang.