Aktualizace brány VPN selhává: přečtěte si fázi, než otevřete výstup
Neúspěšná aktualizace pojmenovává fázi, ne chybějící port. Přiřaďte zprávu jejímu vlastníkovi, přečtěte si cestu proxy a poté se vědomě rozhodněte o politice údržby.
Odmítání instalovat bezpečnostní aktualizace je jen jeden špatný týden od toho, kdy se stanete problémem někoho jiného, a brána, která vpouští klienty, je nejjednodušším místem, kde tento zvyk rozvinout. Obvyklou příčinou není chybějící trasa, ale chybějící rozhodnutí: nikdo neřekl, jak má samotný hostitel dosáhnout úložiště, když je předávání klientů záměrně úzké. Toto rozhodnutí je třeba přijmout výslovně a musí být užší než vypnutí výstupní politiky na jedno odpoledne.
Čtyři fáze, čtyři různí vlastníci
Selhání aktualizace je pojmenovaná fáze, ať už to zpráva říká, nebo ne, a každá fáze patří jinému vlastníkovi. Jméno, které nelze přeložit, je otázka pro resolver. Spojení, které vyprší, je otázka pro transport, proxy nebo vzdálený konec. Chyba identity TLS je otázka důvěry a odmítnutá metadata archivu jsou otázkou podpisu. Čtyři fáze, čtyři vlastníci a pravidlo portu vždy odpovídá jen na jedno z nich.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping a překlad názvů jsou dva testy, po kterých lidé sáhnou nejdřív, a oba odpovídají na otázky, které nikdo nepoložil. Odpověď echa používá jiný protokol než spojení s úložištěm a úspěšné vyhledání se zastaví u překladu názvů, aniž by otestovalo stahování. Obojí může projít, zatímco skutečná transakce selhává, a obojí může selhat z důvodů, které s cestou nemají nic společného.
Přečtěte si cestu, kterou správce skutečně jde
Prohlédněte nakonfigurované zdrojové URI a skutečné uspořádání proxy, místo abyste některé z nich předpokládali. Pravidlo napsané pro obyčejné HTTP není oprava, když úložiště mluví HTTPS, a organizace, která vyžaduje proxy, si cestu už vybrala. Správci balíčků respektují proměnné prostředí a vlastní konfiguraci a nastavení specifická pro hostitele mohou přepsat globální. To, co dělá interaktivní prohlížeč, nemusí být to, co dělá správce.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyDokumentace transportu APT popisuje, která nastavení platí pro které schéma URI a jak se zapisují volby specifické pro hostitele. Uložte výstup příkazů k tiketu, protože oddělí problém s proxy od chybějící trasy rychleji než jakýkoli počet výsledků ping. Zapište přesný cíl, port a protokol, které správce zkouší, a nechte změnu firewallu stát na tomto záznamu místo na odhadnuté zrcadlové adrese, která během měsíců zastará.
Vyberte politiku údržby, ne výjimku
Tři politiky jsou obhajitelné: údržba tunelem, údržba přes spravovanou aktualizační proxy nebo údržba přes úzce autorizovanou přímou trasu. Každá předpokládá odpovídající uspořádání resolveru. Neobhajitelná je výjimka, která se tiše stane neomezenou záložní cestou pokaždé, když tunel spadne.
Zapište zvolenou politiku spolu s vlastníkem, protože příští operátor najde pravidlo, a ne odůvodnění za ním. Uplatněte oprávnění přes stávající firewall a vlastníka sítě, místo abyste vyprázdnili pravidla nebo přidali druhého správce politik pro jednoho hostitele. Pokryjte rodiny adres a koncové body služeb, které skutečný zdroj používá, a seznam revidujte, když se úložiště přesune.
Ověřujte bez oslabení důvěry
Úspěšný transport není povolením uvolnit ověřování: ověření archivu a identita serveru TLS jsou dvě odlišné kontroly a vypnutí kterékoli z nich nechá chybu zmizet, zatímco změní, co hostitel přijme. Zachytávající proxy je rozhodnutí o důvěře vlastníka sítě, ne důvod vypnout kontrolu lokálně, a přihlašovací údaje úložiště nepatří do sdílené diagnostiky, protože podrobný záznam je nejjednodušší místo, kde je vyzradit.
Přijměte změnu s řízeným získáním metadat a poté jednou schválenou transakcí balíčku, a pak otestujte, co se stane, když tunel spadne. Cesta údržby, která se během výpadku tiše rozšiřuje, je horší než ta, která selže zavřená, a výsledkem by měla být aktualizační cesta s pojmenovaným vlastníkem a omezeným rozsahem.