Mae eich porth VPN yn dal angen ffordd i osod diweddariadau

Mae’r twnnel yn gweithio i bawb y tu ôl iddo, mae’r porth yn anfon eu traffig ymlaen, ac eto ni all y peiriant ei hun osod diweddariad diogelwch. Dyma ffurf arferol y broblem: rhoddwyd caniatâd anfon ymlaen i’r cleientiaid, ac ni chafodd cysylltiadau allan y porth ei hun eu cynnwys yn y cynllun erioed. Mae’r rheolwr pecynnau yn agor ei socedi ei hun, o’r porth, tuag at storfa nad ydych yn debygol o fod wedi’i henwi unrhyw le ym mholisi’r mur gwarchod.

Mae cloi porth yn gywir. Mae ei chloi mor drylwyr nes ei bod yn peidio â chael clwtiau yn benderfyniad arall, ac fel arfer yn un damweiniol.

Nid allbwn lleol yw anfon cleientiaid ymlaen

Mae rheolau anfon ymlaen yn llywodraethu pecynnau sy’n cyrraedd o rywle arall ac yn gadael trwy’r porth. Nid yw traffig diweddaru’r porth ei hun byth yn cyfateb iddynt; fe’i cynhyrchir yn lleol ac mae’n mynd ar hyd y llwybr allbwn. Mae’r gwahaniaeth hwnnw’n esbonio methiant sy’n ymddangos yn amhosibl tra bod mynediad cleientiaid yn gweithio’n berffaith.

Mae hefyd yn esbonio bwlch polisi sy’n goroesi profion, oherwydd mae gwiriad cyflym o liniadur y tu ôl i’r twnnel yn profi bod y gadwyn anfon ymlaen yn gweithio ac yn dweud dim am gysylltiadau’r gwesteiwr ei hun. Triniwch y porth fel dau destun: llwybrydd â chadwyn anfon ymlaen a gwesteiwr â chadwyn allbwn. Mae angen barn ar y ddau, a dim ond un ohonynt sy’n cael ei nodi fel arfer.

Enwch y cam a fethodd

Mae gwallau diweddaru yn enwi ffiniau gwahanol, ac mae cyrraedd am reol porth cyn darllen pa un a fethodd yn costio prynhawn. Mae enw storfa nad yw’n datrys yn gwestiwn resolver, nid yn gwestiwn cludiant.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Mae terfyn amser ar ôl datrysiad llwyddiannus yn symud y cwestiwn i gludiant: pa gyfeiriad, pa borth a pha ddirprwy gyfluniedig y ceisiodd y rheolwr pecynnau ei ddefnyddio mewn gwirionedd. Mae methiant dilysu TLS yn drydedd beth, hollol wahanol, ac mae’n golygu bod y cysylltiad wedi gweithio’n ddigon da i drafod. Mae cwyn am ddilysu’r archif yn bedwerydd cam, ac mae’n ymwneud â metadata wedi’i lofnodi yn hytrach na chyrhaeddedd. Pedwar cam, pedwar atgyweiriad gwahanol, ac mae ping bob amser yn disgrifio un protocol yn unig nad yw unrhyw reolwr pecynnau yn ei ddefnyddio.

Darllenwch y rhestr ffynonellau cyn ychwanegu rheol

Rhestrwch URIau gwirioneddol y ffynonellau a’r gyfluniad dirprwy effeithiol, nid y rhai rydych yn eu cofio. Mae rheol a ysgrifennwyd ar gyfer HTTP plaen yn ddiwerth pan fo’r ffynhonnell yn HTTPS, a gall dirprwy y mae’r gragen yn ei adnabod fod yn anweladwy i wasanaeth a gychwynnir wrth gychwyn gydag amgylchedd gwahanol.

Mae dogfennaeth cludiant HTTP APT yn cynnwys gosodiadau dirprwy amgylcheddol a rhai penodol i APT, gan gynnwys dewisiadau fesul gwesteiwr, ac mae gan ei gludiant HTTPS ei osodiadau dilysu ei hun. Mae llwybr porwr a llwybr y rheolwr pecynnau yn llwybrau ar wahân, hyd yn oed ar yr un peiriant.

Nodwch pa deuluoedd y mae’r ffynonellau’n datrys iddynt. Bydd rheol sy’n caniatáu IPv4 yn unig yn parhau i fethu ar westeiwr y mae ei ffynonellau’n ffafrio cofnod AAAA, ac mae’r gwall yn ymddangos yn ysbeidiol oherwydd ei fod yn dibynnu ar ba ateb sy’n cyrraedd gyntaf.

Dewiswch un llwybr cynnal a chadwch ato

Mae tri opsiwn amddiffynadwy: traffig cynnal trwy’r twnnel, trwy ddirprwy diweddaru wedi’i reoli, neu trwy eithriad uniongyrchol cul. Dewiswch un yn fwriadol a gwnewch i’r resolver gytuno, oherwydd mae rhaniad lle mae enwau’n datrys un ffordd ac mae cysylltiadau’n mynd y ffordd arall yn cynhyrchu methiannau na all neb eu hesbonio.

Beth bynnag a ddewiswch, rhaid iddo beidio â dod yn ôl-gyfle heb gyfyngiad. Os yw traffig allan uniongyrchol yn cael ei wahardd pan fo’r twnnel i lawr, mae eithriad cynnal sy’n caniatáu popeth yn dawel yn newid polisi wedi’i guddio fel atgyweiriad. Cadwch bwynt diwedd y twnnel ei hun a’r anghenion bootstrap mewn categori ar wahân i fynediad storfa, oherwydd maent yn pwyntio at gyrchfannau gwahanol ac yn methu mewn ffyrdd gwahanol, felly ni all un esemptiad gwmpasu’r llall.

Dilyswch heb wanhau’r gwiriadau

Cymhwyswch y cwmpas trwy’r mur gwarchod sy’n berchen ar y polisi yn barod yn hytrach nag ychwanegu ail reolwr oherwydd bod un canllaw wedi’i ddefnyddio. Yna rhedwch adnewyddiad metadata ac un trafodiad pecynnau go iawn o dan y polisi a gynhelir, a darllenwch yr allbwn yn hytrach na’r statws allan yn unig.

Nid yw cludiant llwyddiannus yn ganiatâd i lacio dilysu. Mae dilysu archif a hunaniaeth gweinydd TLS yn warantau ar wahân, ac mae analluogi’r naill neu’r llall i dawelu gwall yn newid yr hyn rydych yn ymddiried ynddo, nid yr hyn y gallwch ei gyrraedd.

Gorffennwch drwy brofi’r achos heb dwnnel yn fwriadol. Mae gwybod sut mae’r porth yn ymddwyn heb ei thwnnel yn rhan o’r dyluniad, darganfod hynny yn ystod toriad ddim. Tynnwch y twnnel i lawr, rhedwch yr adnewyddiad metadata a chadarnhewch fod y gwesteiwr yn methu yn y ffordd a fwriedir yn hytrach na chwympo’n dawel yn ôl i lwybr agored. Cadwch glodau storfa a dirprwy allan o ddiagnosteg a rennir a gadewch nodyn yn enwi pwy sy’n berchen ar y llwybr diweddaru.