Vaš VPN gateway još uvijek treba način za instaliranje ažuriranja

Tunel radi za svakoga iza njega, gateway prosljeđuje njihov saobraćaj, a ipak sam uređaj ne može instalirati sigurnosno ažuriranje. To je uobičajen oblik problema: dozvola za prosljeđivanje data je klijentima, a vlastite odlazne veze gatewaya nikada nisu uključene u plan. Upravitelj paketa otvara svoje vlastite sockete, sa gatewaya, prema repozitoriju koji vjerojatno nigdje niste imenovali u pravilima vatrozida.

Zaključati gateway je ispravno. Zaključati ga tako temeljito da prestane primati zakrpe druga je odluka, i obično slučajna.

Lokalni izlaz nije prosljeđivanje klijenata

Pravila prosljeđivanja uređuju pakete koji dolaze odnekud drugdje i izlaze kroz gateway. Vlastiti promet ažuriranja gatewaya nikada im ne odgovara; nastaje lokalno i prolazi izlaznim putem. Ta razlika objašnjava kvar koji izgleda nemoguć, dok pristup klijenata radi besprijekorno.

Objašnjava i prazninu u politici koja preživi testiranje, jer brza provjera s prijenosnog računala iza tunela dokazuje da lanac prosljeđivanja radi i ne govori ništa o vlastitim vezama hosta. Tretirajte gateway kao dva subjekta: usmjerivač s lancem prosljeđivanja i host s izlaznim lancem. Oba trebaju stav, a obično se zapiše samo jedan.

Imenujte fazu koja nije uspjela

Greške ažuriranja imenuju različite granice, a posezanje za pravilom porta prije nego što pročitate koja nije uspjela košta popodne. Naziv repozitorija koji se ne razrješava pitanje je za resolver, a ne pitanje transporta.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Istek vremena nakon uspješnog razrješavanja premješta pitanje na transport: koju adresu, koji port i koji konfigurirani proxy upravitelj paketa je stvarno pokušao. Greška provjere TLS je treća, potpuno druga stvar, i znači da je veza radila dovoljno dobro da pregovara. Pritužba na autentifikaciju arhive je četvrta faza, i tiče se potpisanih metapodataka, a ne dostupnosti. Četiri faze, četiri različita popravka, a ping uvijek opisuje samo jedan protokol koji nijedan upravitelj paketa ne koristi.

Pročitajte popis izvora prije dodavanja pravila

Navedite stvarne URI-je izvora i stvarnu konfiguraciju proxyja, a ne one kojih se sjećate. Pravilo napisano za obični HTTP beskorisno je kada je izvor HTTPS, a proxy koji ljuska poznaje može biti nevidljiv usluzi pokrenutoj pri podizanju s drugim okruženjem.

Dokumentacija prijenosa HTTP u APT-u pokriva proxy postavke okruženja i one specifične za APT, uključujući odabir po hostu, a njezin HTTPS prijenos ima vlastite postavke provjere. Put koji prolazi preglednik i put koji prolazi upravitelj paketa odvojeni su putovi, čak i na istom stroju.

Zabilježite u koje se obitelji izvori razrješavaju. Pravilo koje dopušta samo IPv4 nastavit će ne uspijevati na hostu čiji izvori preferiraju AAAA zapis, a greška izgleda povremeno jer ovisi o tome koji odgovor stigne prvi.

Odaberite jedan put održavanja i držite ga se

Postoje tri obranjive opcije: promet održavanja kroz tunel, kroz upravljani proxy za ažuriranja ili kroz uska izravna iznimka. Odaberite jednu svjesno i pobrinite se da se resolver s tim slaže, jer podjela u kojoj se imena razrješavaju na jednu stranu, a veze idu na drugu stvara kvarove koje nitko ne može objasniti.

Što god odabrali, to ne smije postati neograničena rezervna opcija. Ako je izravni odlazni promet zabranjen kada tunel ne radi, iznimka za održavanje koja tiho dopušta sve promjena je politike prerušena u popravak. Držite vlastitu završnu točku tunela i potrebe bootstrapa u zasebnoj kategoriji od pristupa repozitorijima, jer pokazuju na različita odredišta i ne uspijevaju na različite načine, pa jedna iznimka ne može pokriti drugu.

Provjeravajte bez slabljenja provjera

Primijenite opseg kroz vatrozid koji već posjeduje politiku, umjesto dodavanja drugog upravitelja jer ga je jedan vodič koristio. Zatim pokrenite osvježavanje metapodataka i jednu stvarnu transakciju paketa pod održavanom politikom, i čitajte izlaz, a ne samo izlazni status.

Uspješan prijenos nije dopuštenje za ublažavanje provjere. Autentifikacija arhive i identitet TLS poslužitelja zasebna su jamstva, a isključivanje bilo kojeg od njih da bi se ušutkala greška mijenja ono u što vjerujete, ne ono do čega možete doći.

Završite namjernim testiranjem slučaja bez tunela. Znati kako se gateway ponaša bez svog tunela dio je dizajna, otkriti to tijekom prekida nije. Spustite tunel, pokrenite osvježavanje metapodataka i potvrdite da host ne uspijeva na predviđeni način, umjesto da tiho padne natrag na otvoren put. Držite vjerodajnice repozitorija i proxyja izvan zajedničke dijagnostike i ostavite bilješku koja navodi kome pripada put ažuriranja.