Абнаўленне VPN-шлюза не ўдаецца: прачытайце этап, перш чым адкрыць выхад
Няўдалае абнаўленне называе этап, а не адсутны порт. Злучыце паведамленне з яго ўладальнікам, прачытайце шлях проксі і затым свядома вырашыце, якой будзе палітыка абслугоўвання.
Адмова ўсталёўваць абнаўленні бяспекі — гэта ўсяго тыдзень да таго, як вы станеце чужой праблемай, а шлюз, які пускае кліентаў, — самае лёгкае месца, каб замацаваць гэтую звычку. Звычайная прычына — не адсутны маршрут, а адсутнае рашэнне: ніхто не сказаў, як сам хост павінен дабрацца да сховішча, калі перасылка кліентаў наўмысна вузкая. Гэта рашэнне трэба прыняць яўна, і яно павінна быць вузейшым за выключэнне палітыкі выхаду на паўдня.
Чатыры этапы, чатыры розныя ўладальнікі
Збой абнаўлення — гэта названы этап, незалежна ад таго, ці гаворыць пра гэта паведамленне, і кожны этап належыць іншаму ўладальніку. Імя, якое не ўдаецца развязаць, — пытанне да развязвальніка. Злучэнне, якое сканчаецца па тайм-ауце, — пытанне да транспарту, проксі або далёкага канца. Памылка ідэнтычнасці TLS — пытанне даверу, а адхіленыя метаданыя архіва — пытанне подпісу. Чатыры этапы, чатыры ўладальнікі, і правіла порта заўсёды адказвае толькі на адно з іх.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Пінг і развязанне імёнаў — два тэсты, да якіх людзі звяртаюцца перш за ўсё, і абодва адказваюць на пытанні, якіх ніхто не задаваў. Адказ рэха выкарыстоўвае іншы пратакол, чым злучэнне са сховішчам, а паспяховы запыт спыняецца на развязанні імёнаў, не правяраючы атрыманне. Абодва могуць прайсці, пакуль сапраўдная транзакцыя зрываецца, і абодва могуць зваліцца з прычын, не звязаных са шляхам.
Прачытайце шлях, якім кіраўнік насамрэч ідзе
Агледзьце наладжаныя зыходныя URI і фактычную схему проксі, замест таго каб меркаваць адно з двух. Правіла, напісанае для звычайнага HTTP, не з’яўляецца рамонтам, калі сховішча гаворыць HTTPS, а арганізацыя, якая патрабуе проксі, ужо выбрала шлях. Кіраўнікі пакетаў паважаюць зменныя асяроддзя і ўласную канфігурацыю, а налады, спецыфічныя для хоста, могуць перакрыць глабальныя. Тое, што робіць інтэрактыўны браўзер, не абавязкова тое, што робіць кіраўнік.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyДакументацыя транспарту APT апісвае, якія налады дзейнічаюць для якой схемы URI і як запісваюцца выбары, спецыфічныя для хоста. Захоўвайце вывад камандаў разам з тыкетам, бо ён аддзяляе праблему проксі ад адсутнага маршруту хутчэй, чым любая колькасць вынікаў пінгу. Запішыце дакладныя прызначэнне, порт і пратакол, якія спрабуе кіраўнік, і няхай змена файрвола абапіраецца на гэты запіс, а не на выдуманы люстраны адрас, які састарэе праз некалькі месяцаў.
Выберыце палітыку абслугоўвання, а не выключэнне
Тры палітыкі можна абараніць: абслугоўванне праз тунель, абслугоўванне праз кіраваны проксі абнаўленняў або абслугоўванне праз вузка аўтарызаваны прамы маршрут. Кожная прадугледжвае адпаведную схему развязвальніка. Тое, што нельга абараніць, — гэта выключэнне, якое ціха ператвараецца ў неабмежаваны рэзервовы шлях кожны раз, калі тунель падае.
Запішыце выбраную палітыку разам з уладальнікам, бо наступны аператар знойдзе правіла, а не абгрунтаванне за ім. Ужывіце дазвол праз існуючы файрвол і ўладальніка сеткі, а не праз ачыстку правілаў або даданне другога кіраўніка палітык для аднаго хоста. Ахапіце сем’і адрасоў і службовыя канчатковыя кропкі, якія выкарыстоўвае сапраўдная крыніца, і перагледзьце спіс, калі сховішча пераязджае.
Правярайце, не паслабляючы давер
Паспяховы транспарт — не дазвол на паслабленне праверкі: аўтэнтыфікацыя архіва і ідэнтычнасць сервера TLS — дзве асобныя праверкі, і адключэнне любой з іх прыбірае памылку, змяняючы тое, што хост прыме. Перахоплівальны проксі — гэта рашэнне аб даверы ўладальніка сеткі, а не прычына адключаць праверку лакальна, а ўліковыя даныя сховішча не месца ў агульнай дыягностыцы, бо падрабязны журнал — самае лёгкае месца для іх уцечкі.
Прыміце змену пры кантраляваным атрыманні метаданых, а затым адной ухваленай транзакцыі пакета, і пасля праверце, што адбываецца, калі тунель падае. Шлях абслугоўвання, які падчас збою ціха пашыраецца, горш за той, што зрываецца зачыненым, і вынікам павінен быць шлях абнаўлення з названым уладальнікам і абмежаваным абсягам.