Mae diweddaru’r porth VPN yn methu: darllenwch y cam cyn agor y ffordd allan
Mae diweddariad sy’n methu yn enwi cam, nid porth sydd ar goll. Cysylltwch y neges â’i pherchennog, darllenwch lwybr y dirprwy, ac yna penderfynwch y polisi cynnal a chadw yn fwriadol.
Mae gwrthod gosod diweddariadau diogelwch yn un wythnos ddrwg oddi wrth ddod yn broblem rhywun arall, a phorth sy’n derbyn cleientiaid yw’r lle hawsaf i feithrin yr arferiad hwnnw. Nid llwybr sydd ar goll yw’r achos arferol ond penderfyniad sydd ar goll: ni ddywedodd neb sut y dylai’r gwesteiwr ei hun gyrraedd ystorfa pan fo anfon cleientiaid yn gul yn fwriadol. Rhaid gwneud y penderfyniad hwnnw’n eglur, a rhaid iddo fod yn gulach na diffodd y polisi allan am brynhawn.
Pedwar cam, pedwar perchennog gwahanol
Mae methiant diweddaru yn gam a enwir, p’un a yw’r neges yn dweud hynny ai peidio, ac mae pob cam yn perthyn i berchennog gwahanol. Cwestiwn i’r datryswr yw enw na ellir ei ddatrys. Cwestiwn i gludiant, dirprwy neu’r pen pell yw cysylltiad sy’n amseru allan. Cwestiwn ymddiriedaeth yw gwall hunaniaeth TLS, a chwestiwn llofnod yw metadata archif a wrthodwyd. Pedwar cam, pedwar perchennog, a dim ond un ohonynt y mae rheol porth yn ei ateb.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping a datrysiad enwau yw’r ddau brawf y mae pobl yn eu defnyddio gyntaf, ac mae’r ddau yn ateb cwestiynau na ofynnodd neb. Mae ateb eco yn arfer protocol gwahanol i gysylltiad yr ystorfa, ac mae chwiliad llwyddiannus yn stopio ar ddatrysiad enwau heb brofi’r adferiad. Gall y naill basio tra bod y trafodiad go iawn yn methu, a gall y naill fethu am resymau nad oes a wnelont â’r llwybr.
Darllenwch y llwybr y mae’r rheolwr yn ei gymryd mewn gwirionedd
Archwiliwch yr URIau ffynhonnell a gyfluniwyd a’r drefn ddirprwy effeithiol yn lle tybio’r naill na’r llall. Nid yw rheol a ysgrifennwyd ar gyfer HTTP plaen yn atgyweiriad pan fo’r ystorfa yn siarad HTTPS, ac mae sefydliad sy’n mynnu dirprwy eisoes wedi dewis y llwybr. Mae rheolwyr pecynnau yn parchu newidynnau amgylchedd a’u ffurfweddiad eu hunain, a gall gosodiadau penodol i’r gwesteiwr ddiystyru un byd-eang. Nid oes rhaid i’r hyn y mae porwr rhyngweithiol yn ei wneud fod yr un â’r hyn y mae’r rheolwr yn ei wneud.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyMae’r ddeunydd dogfennu cludiant APT yn disgrifio pa osodiadau sy’n berthnasol i ba gynllun URI a sut y gosodir dewisiadau penodol i’r gwesteiwr. Cadwch allbwn y gorchmynion gyda’r tocyn, oherwydd mae’n gwahanu problem ddirprwy oddi wrth lwybr sydd ar goll yn gyflymach nag unrhyw nifer o ganlyniadau ping. Nodwch y gyrchfan, y porth a’r protocol union y mae’r rheolwr yn eu ceisio, a gadewch i’r newid mur tân ddibynnu ar y cofnod hwnnw yn hytrach nag ar gyfeiriad drych a ddyfalwyd sy’n mynd yn hen o fewn misoedd.
Dewiswch bolisi cynnal a chadw, nid eithriad
Mae tri pholisi yn amddiffynadwy: cynnal trwy’r twnnel, cynnal trwy ddirprwy diweddaru a reolir, neu gynnal trwy lwybr uniongyrchol a awdurdodwyd yn gul. Mae pob un yn awgrymu trefniant datryswr sy’n cyd-fynd ag ef. Yr hyn nad yw’n amddiffynadwy yw eithriad sy’n troi’n dawel yn gildro heb gyfyngiad pryd bynnag y bydd y twnnel i lawr.
Ysgrifennwch y polisi a ddewiswyd gyda pherchennog, oherwydd bydd y gweithredwr nesaf yn dod o hyd i’r rheol ac nid i’r rhesymau y tu ôl iddi. Cymhwyswch y caniatâd trwy’r mur tân presennol a pherchennog y rhwydwaith yn hytrach na fflysio rheolau neu ychwanegu ail reolwr polisi ar gyfer un gwesteiwr. Gorchuddiwch y teuluoedd cyfeiriad a’r pwyntiau gwasanaeth y mae’r ffynhonnell go iawn yn eu defnyddio, ac ailymwelwch â’r rhestr pan fydd yr ystorfa yn symud.
Gwirio heb wanhau ymddiriedaeth
Nid yw llwyddiant cludiant yn ganiatâd i lacio’r gwiriad: mae dilysu’r archif a hunaniaeth gweinydd TLS yn ddau wiriad gwahanol, ac mae analluogi’r naill neu’r llall yn gwneud i wall ddiflannu tra’n newid yr hyn y bydd y gwesteiwr yn ei dderbyn. Penderfyniad ymddiriedaeth gan berchennog y rhwydwaith yw dirprwy rhyng-gipio yn hytrach na rheswm i ddiffodd y gwiriad yn lleol, ac nid yw manylion mewngofnodi’r ystorfa yn perthyn i ddiagnosteg a rennir, oherwydd log manwl yw’r lle hawsaf i’w gollwng.
Derbyniwch y newid gydag adferiad metadata a reolir ac yna un trafodiad pecyn a gymeradwywyd, yna profwch beth sy’n digwydd pan fydd y twnnel yn cwympo. Mae llwybr cynnal a chadw sy’n lledu’n dawel yn ystod ymyrraeth yn waeth nag un sy’n methu’n gaeedig, ac fe ddylai’r canlyniad fod yn llwybr diweddaru gyda pherchennog a enwir ac â chwmpas cyfyngedig.