Сайты адкрываюцца праз VPN, але apt не даходзіць да рэпазіторыя

VPN падключаецца, унутраная вікі адкрываецца ў браўзеры, а apt update па-ранейшаму вісіць на люстэрку, да якога не можа дабрацца. На гэтым малюнку ў тунелі нічога не зламана. Браўзер і менеджэр пакетаў прынялі два розныя рашэнні пра проксі, і наладжана было толькі адно з іх.

Якое рашэнне адмовіла — адзінае, што варта вызначыць першым.

Прачытайце памылку, перш чым кранаць наладу

Кожны этап пакідае сваё паведамленне. Імя, якое ніколі не вырашаецца, — гэта DNS; злучэнне, якое ніколі не завяршаецца, — гэта маршрутызацыя або брандмаўэр; імгненны 407 — гэта аўтэнтыфікацыя на проксі; скарга на сертыфікат — гэта праверка TLS; а папярэджанне пра подпіс — гэта метаданыя рэпазіторыя. Гэтыя пяць збояў патрабуюць пяці розных выпраўленняў, і радок проксі, устаўлены паверх праблемы з DNS, толькі пераносіць завісанне.

Скапіруйце дакладны радок і рэпазіторый, які ён называе, перш чым нешта змяняць. Невыразны ўспамін «яно ўпала па таймаўце» — гэта тое, што ператварае дзесяціхвілінную дыягностыку ў цэлы дзень.

APT трымае ўласныя налады проксі

APT чытае /etc/apt/apt.conf.d/, асноўны apt.conf і любы файл, названы ў APT_CONFIG. Ён не чытае профіль проксі працоўнага стала, сеткавую наладу GNOME ці пашырэнне браўзера. Транспарт жа ўлічвае зменныя асяроддзя проксі, таму працоўны export https_proxy=... у вашай абалонцы нічога не даказвае пра таймер, які запускаецца ў іншым асяроддзі.

Выведзіце тое, што насамрэч бачыць збойны працэс: apt-config dump | grep -i proxy.

Запусціце гэта ад імя таго карыстальніка, пад якім працуе збойная аперацыя. Калі root чытае іншы набор файлаў або таймер systemd стартуе ў іншым асяроддзі, вывад будзе адрознівацца, і гэтая розніца і ёсць ваш адказ. Два супярэчлівыя значэнні проксі горш за адно адсутнае, бо транспарт ідзе за самым канкрэтным супадзеннем, якое знаходзіць.

Задайце проксі там, дзе яго чакае ўладальнік канфігурацыі

Для яўнага проксі, ухваленага адміністратарам, дастаткова невялікага фрагмента ў новым файле:

Acquire::http::Proxy "http://proxy.corp.example:3128/";
Acquire::https::Proxy "http://proxy.corp.example:3128/";
Acquire::http::Proxy::archive.example.internal "DIRECT";

Трэці радок — тая частка, якую большасць прыкладаў апускае. Ключ для асобнага хоста перакрывае агульнае значэнне, таму ўнутранае люстэрка, даступнае праз тунель, можа абысці проксі, пакуль усё астатняе далей ідзе праз яго. DIRECT — задокументаванае значэнне для гэтага, а не пусты радок.

Дадайце фрагмент як новы пранумараваны файл, напрыклад /etc/apt/apt.conf.d/95proxy. Перазапіс файла дыстрыбутыва азначае, што наступнае абнаўленне пакетаў моўчкі скасуе вашу змену.

Уліковыя даныя застаюцца па-за URI

Даведка транспарту APT для аўтэнтыфікацыі ўказвае на apt_auth.conf, і менавіта там месца імені карыстальніка і паролю. Калі ўбудаваць іх у URI проксі, яны трапяць у спісы працэсаў, у гісторыю абалонкі і ў кожны дамп канфігурацыі, устаўлены ў тыкет. Файлу аўтэнтыфікацыі патрэбныя строгія правы, бо гэта сховішча ўліковых даных.

Праверце і схему. Рэпазіторый HTTPS па-ранейшаму даступны праз проксі HTTP; транспарт — гэта асобны выбар ад схемы URI люстэрка.

Графічны цэнтр праграм — асобны інтэрфейс. Калі ён выкарыстоўвае PackageKit або бэкенд snap, фрагмент APT для яго нічога не змяняе, таму ўдакладніце, які працэс зрабіў няўдалы запыт.

Праверце шлях, а не толькі код выхаду

Калі фрагмент на месцы, назірайце за запытам, а не давярайце зялёнаму выніку. apt-get -o Debug::Acquire::http=true update выводзіць спробу злучэння, абраны проксі і код адказу, што аддзяляе няправільны проксі ад проксі, які вам адмовіў.

Затым праверце выпадак, які не павінен працаваць. Адключыце VPN і пераканайцеся, што ўнутранае люстэрка перастае адказваць; калі яно ўсё яшчэ спампоўвае, нешта маршрутызуе ў абыход тунелю або вас абслугоўвае састарэлы кэш. Пераканайцеся, што дазволены шлях па-ранейшаму правярае TLS і па-ранейшаму правярае подпісы рэпазіторыя, бо проксі, які інспектуе трафік, не ёсць прычынай выключаць ні тое, ні іншае. Пераканайцеся таксама, што неаўтэнтыфікаваны кліент атрымлівае ясную адмову, а не маўклівы таймаўт.

Трымайце працоўны фрагмент і збойны вывад разам у запісе змен. Наступны чалавек, які натрапіць на тое ж завісанне, пазнае розніцу ў два радкі хутчэй, чым з любога тлумачэння.