Offline VPN balíčky: zeptejte se cíle, co potřebuje

Klient VPN potřebuje dosáhnout sítě, která by jeho balíčky obvykle dodávala, a to je pěkný malý kruh. Stažení jediného balíčku OpenVPN DEB na jiném stroji obvykle skončí druhou chybějící závislostí, pak třetí, a pak večerem stráveným honěním verzí knihoven. Alternativou je nechat odpojený stroj, aby vlastními slovy řekl, co jeho správce balíčků potřebuje. Všechno níže plyne z tohoto obrácení toho, kdo se ptá.

Na systémech rodiny Debian probíhá tento rozhovor přes apt-offline, postup žádosti a vrácení. Jeho vlastní běhové prostředí musí být nejprve přítomno na cíli, nainstalované ze schválených médií nebo jiného úvodního postupu spravovaného správcem, protože žádný nástroj se nedokáže sám nastartovat z ničeho.

Začněte od stavu balíčků cíle, ne od stavu pomocníka

Než cokoli jiného, zapište vydání distribuce cíle, architekturu uživatelského prostoru a nakonfigurované zdroje balíčků. Tyto tři skutečnosti rozhodují o tom, která implementace VPN a která integrace s plochou je vhodná, a jsou to skutečnosti, které připojený pomocník nedokáže dodat.

Pomocník stahuje soubory; nestává se základní linií závislostí. Novější notebook, na kterém je OpenVPN už nainstalováno, má zcela jiný stav balíčků než cíl, takže jeho úspěch nic nedokazuje o tom, co cíl může přijmout.

Rozhodněte také, co vlastně chcete. Engine VPN, plugin služby NetworkManager a grafický editor jsou samostatné balíčky a správná volba závisí na vydání a na tom, jak bude uživatel připojení spravovat. Server bez displeje potřebuje engine a konfigurační soubor; plocha potřebuje plugin, který jejím síťovým nastavením umožní vlastnit tunel. Žádost o špatnou sadu vede k instalaci, která uspěje, a k připojení, které nikdo nedokáže spustit.

Dvě cesty, v tomto pořadí

Příručka odděluje tři operace: vytvoření žádosti na odpojeném systému, stažení na připojeném pomocníkovi a import zpět na cíl. Před žádostí o balíčky obnovte metadata úložiště cíle, protože žádost o balíčky se staví z těchto metadat a zastaralé indexy dávají žádosti, které pomocník nedokáže uspokojit.

Na cíli administrátorský příkaz ve tvaru apt-offline set vpn-meta.sig --update zapíše žádost o obnovení. Přeneste tento soubor na připojený stroj a stáhněte svazek pomocí apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Přineste svazek zpět a importujte jej na cíli pomocí apt-offline install vpn-meta.zip, opět jako administrátor.

Nyní vytvořte žádost o balíčky z obnovených metadat, například apt-offline set vpn-deps.sig --install-packages openvpn, a zopakujte cestu s novým názvem svazku. Udržujte každou žádost ve dvojici se svazkem, který vytvořila; svazek vytvořený proti starším metadatům není stejná žádost, i když názvy souborů vypadají zaměnitelně.

Integrační balíčky přidávejte jen tehdy, když to návrh vyžaduje

Pokud má plocha tunel spravovat přes své síťové nastavení, potřebuje žádost odpovídající plugin stejně jako engine. Uveďte konkrétní názvy balíčků, které vaše vydání nabízí, místo seznamu zapamatovaného z jiné distribuce, a při každé změně seznamu vytvořte novou žádost. Přišpendlení verzí si také zaslouží úvahu: balíček sestavený pro novější vydání může splnit název a přesto selhat za běhu. Právě tady se pevná sada čtyř balíčků stává přítěží, protože správný seznam je vlastností cíle a jen cíl jej dokáže vypočítat.

Právě tady se také pevná sada čtyř balíčků stává přítěží. Správný seznam je vlastností cíle a cíl je jediný stroj, který jej dokáže správně vypočítat.

Import svazku není instalace VPN

Navzdory názvu operace instalace ukládá data APT do prostředí správy balíčků. Nevykonává transakci s balíčky. Dokončete a zkontrolujte skutečnou instalaci APT na cíli z lokálně dodaných dat a čtěte výstup, místo abyste předpokládali, že úspěch ZIP znamená, že software je přítomen.

Pokud tato transakce stále žádá nedostupné soubory, uchovejte konkrétní chybějící závislost nebo chybu úložiště a z ní vytvořte další žádost. Nenahrazujte DEB z jiného vydání a nevypínejte kontroly kontrolního součtu ani ověřování úložiště, abyste to protlačili. Příručka výslovně varuje před přeskakováním ověření stažených souborů, a to právem: neověřený balíček je horší výsledek než neúspěšná instalace.

Balíčky jsou jen první polovina

Instalace softwaru je oddělená od získání schváleného koncového bodu, profilu, materiálu důvěry a přihlašovacích údajů, a každý z nich může mít vlastní řízené předání. Funkční sada balíčků bez platného profilu se nepřipojí k ničemu.

Potom udržujte offline cestu přenosu živou pro budoucí aktualizace. Pokud první úspěšné připojení považujete za konec údržby, další bezpečnostní aktualizace čeká, dokud nemůže někdo s autem přijet, a tak offline síť tiše zaostává o roky.