VPN şlüzünüz hələ də yeniləmələri quraşdırmaq üçün bir yol tələb edir

Tunel arxasındakı hər kəs üçün işləyir, şlüz onların trafikini yönləndirir, amma maşının özü təhlükəsizlik yeniləməsini quraşdıra bilmir. Problemin adi forması budur: yönləndirmə icazəsi müştərilərə verildi və şlüzün öz çıxış bağlantıları plana heç vaxt daxil edilmədi. Paket meneceri öz soketlərini açır, şlüzdən, yanğın divarı siyasətində çox güman ki, heç yerdə adlandırmadığınız bir depoya doğru.

Şlüzü kilidləmək düzgündür. Onu yamaq almağı dayandıracaq qədər hərtərəfli kilidləmək başqa bir qərardır və adətən təsadüfi olur.

Yerli çıxış müştəri yönləndirməsi deyil

Yönləndirmə qaydaları başqa yerdən gələn və şlüzdən çıxan paketləri idarə edir. Şlüzün öz yeniləmə trafiki onlarla heç vaxt uyğunlaşmır; yerli olaraq yaranır və çıxış yolunu keçir. Bu fərq müştəri girişi qüsursuz işləyərkən qeyri-mümkün görünən nasazlığı izah edir.

O, həmçinin sınaqlardan keçən siyasət boşluğunu izah edir, çünki tunelin arxasındakı noutbukdan sürətli yoxlama yönləndirmə zəncirinin işlədiyini sübut edir və hostun öz bağlantıları haqqında heç nə demir. Şlüzə iki subyekt kimi baxın: yönləndirmə zənciri olan marşrutlaşdırıcı və çıxış zənciri olan host. Hər ikisinə rəy lazımdır və adətən yalnız biri yazılır.

Uğursuz olan mərhələni adlandırın

Yeniləmə xətaları müxtəlif sərhədləri adlandırır və hansının uğursuz olduğunu oxumadan port qaydasına əl atmaq bir günorta vaxtı aparır. Həll olunmayan depo adı həlledici sualıdır, nəqliyyat sualı deyil.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Uğurlu axtarışdan sonra yaranan fasilə sualı nəqliyyata keçirir: paket menecerinin həqiqətən hansı ünvana, hansı porta və hansı konfiqurasiya edilmiş proksiyə cəhd etdiyi. TLS yoxlama xətası tamamilə üçüncü, başqa bir şeydir və bağlantının razılaşma üçün kifayət qədər yaxşı işlədiyini bildirir. Arxiv autentifikasiyası ilə bağlı şikayət dördüncü mərhələdir, və əlçatanlıqdan çox imzalanmış metadata ilə bağlıdır. Dörd mərhələ, dörd fərqli təmir və ping həmişə heç bir paket menecerinin istifadə etmədiyi yalnız bir protokolu təsvir edir.

Qayda əlavə etməzdən əvvəl mənbə siyahısını oxuyun

Xatırladığınız mənbələri deyil, faktiki mənbə URI-lərini və effektiv proksi konfiqurasiyasını sadalayın. Adi HTTP üçün yazılmış qayda mənbə HTTPS olduqda faydasızdır və qabığın bildiyi proksi yükləmə zamanı başqa mühitlə başladılan xidmət üçün görünməz ola bilər.

APT HTTP nəqliyyat sənədləri mühit və APT-yə xas proksi ayarlarını, host üzrə seçimlər də daxil olmaqla əhatə edir və onun HTTPS nəqliyyatının öz yoxlama ayarları var. Brauzerin getdiyi yol və paket menecerinin getdiyi yol, hətta eyni maşında belə, ayrı yollardır.

Mənbələrin hansı ünvan ailələrinə həll olunduğuna diqqət yetirin. Yalnız IPv4-ə icazə verən qayda mənbələri AAAA qeydini üstün tutan hostda uğursuz olmağa davam edəcək və xəta fasiləli görünür, çünki hansı cavabın birinci gəldiyindən asılıdır.

Bir texniki xidmət yolu seçin və ona sadiq qalın

Üç müdafiə oluna bilən variant var: tunel vasitəsilə texniki xidmət trafiki, idarə olunan yeniləmə proksisi vasitəsilə və ya dar bir birbaşa istisna vasitəsilə. Birini qəsdən seçin və həlledicinin də onunla razılaşmasını təmin edin, çünki adların bir istiqamətə həll olunduğu və bağlantıların başqa istiqamətə getdiyi bölünmə heç kimin izah edə bilmədiyi nasazlıqlar yaradır.

Nə seçsəniz də, bu qeyri-məhdud ehtiyat variantına çevrilməməlidir. Əgər tunel işləmədikdə birbaşa çıxış trafiki qadağandırsa, hər şeyə səssizcə icazə verən texniki xidmət istisnası düzəliş kimi maskalanmış siyasət dəyişikliyidir. Tunelin öz son nöqtəsini və bootstrap ehtiyaclarını depo girişindən ayrı kateqoriyada saxlayın, çünki onlar fərqli təyinat nöqtələrinə işarə edir və fərqli şəkildə uğursuz olur, buna görə bir istisna digərini əhatə edə bilməz.

Yoxlamaları zəiflətmədən təsdiqləyin

Əhatə dairəsini, bir bələdçi istifadə etdiyi üçün ikinci menecer əlavə etmək əvəzinə, siyasətə artıq sahib olan yanğın divarı vasitəsilə tətbiq edin. Sonra saxlanılan siyasət altında metadata yeniləməsi və bir real paket əməliyyatı işə salın və yalnız çıxış statusunu deyil, çıxışı oxuyun.

Uğurlu nəqliyyat yoxlamanı yumşaltmaq üçün icazə deyil. Arxiv autentifikasiyası və TLS serverinin kimliyi ayrı təminatlardır və bir xətanı susdurmaq üçün onlardan hər hansı birini söndürmək nəyə güvəndiyinizi dəyişir, nəyə çata bildiyinizi deyil.

Tunelsiz halı qəsdən sınaqdan keçirməklə bitirin. Şlüzün tuneli olmadan necə davrandığını bilmək dizaynın bir hissəsidir, bunu kəsinti zamanı kəşf etmək deyil. Tuneli aşağı salın, metadata yeniləməsini işə salın və hostun nəzərdə tutduğunuz şəkildə uğursuz olduğunu, səssizcə açıq yola geri düşmədiyini təsdiqləyin. Depo və proksi etimadnamələrini paylaşılan diaqnostikadan kənar saxlayın və yeniləmə yolunun kimə aid olduğunu göstərən qeyd buraxın.