Offline VPN-pakker: spørg målet, hvad det har brug for

Du har brug for VPN-klienten for at nå netværket, som normalt ville levere dens pakker, og det er en pæn lille cirkel. At downloade en enkelt OpenVPN DEB på en anden maskine ender normalt med en anden manglende afhængighed, derefter en tredje, og derefter en aften med at jage biblioteksversioner. Alternativet er at lade den afkoblede maskine selv erklære, på sine egne præmisser, hvad dens pakkehåndtering har brug for. Alt nedenfor følger af den omvending af, hvem der spørger.

På systemer i Debian-familien foregår den samtale gennem apt-offline, et forløb med anmodning og retur. Dets egen runtime skal først være til stede på målet, installeret fra godkendte medier eller en anden bootstrap, som en administrator styrer, fordi intet værktøj kan bootstrap sig selv ud af ingenting.

Begynd med målets pakketilstand, ikke hjælperens

Noter målets distributionsudgave, brugerrumsarkitektur og konfigurerede pakkekilder før noget andet. De tre fakta afgør, hvilken VPN-implementering og hvilken skrivebordsintegration der er passende, og de er de fakta, en tilsluttet hjælper ikke kan levere.

Hjælperen downloader filer; den bliver ikke afhængighedsgrundlaget. En nyere bærbar computer, hvor OpenVPN allerede er installeret, har en helt anden pakketilstand end målet, så dens succes beviser intet om, hvad målet kan acceptere.

Beslut også, hvad du faktisk vil have. VPN-motoren, et tjenesteelement til NetworkManager og en grafisk editor er separate pakker, og det korrekte valg afhænger af udgaven og af, hvordan brugeren vil styre forbindelsen. En server uden skærm har brug for motoren og en konfigurationsfil; et skrivebord har brug for det tjenesteelement, der lader dens netværksindstillinger eje tunnelen. At anmode om det forkerte sæt giver en installation, der lykkes, og en forbindelse, som ingen kan starte.

To ture, i denne rækkefølge

Manualen skelner mellem tre operationer: opret en anmodning på det afkoblede system, download på en tilsluttet hjælper, og importér tilbage på målet. Opdater målets depotmetadata, før du anmoder om pakker, fordi pakkeanmodningen bygges ud fra disse metadata, og forældede indekser giver anmodninger, som hjælperen ikke kan opfylde.

På målet skriver en administratorkommando i formen apt-offline set vpn-meta.sig --update opdateringsanmodningen. Tag den fil med til den tilsluttede maskine, og download en pakke med apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Bring pakken tilbage, og importér den på målet med apt-offline install vpn-meta.zip, igen som administrator.

Opret nu pakkeanmodningen ud fra de opdaterede metadata, for eksempel apt-offline set vpn-deps.sig --install-packages openvpn, og gentag turen med et nyt pakkenavn. Hold hver anmodning parret med den pakke, den frembragte; en pakke, der er genereret mod ældre metadata, er ikke den samme anmodning, selv når filnavnene ser ud til at kunne udskiftes.

Tilføj kun integrationspakkerne, når designet kræver dem

Hvis skrivebordet skal styre tunnelen gennem sine netværksindstillinger, har anmodningen brug for det matchende tjenesteelement såvel som motoren. Medtag de specifikke pakkenavne, som din udgave leverer, i stedet for en liste, der huskes fra en anden distribution, og opret en ny anmodning, hver gang listen ændres. Versionsfastlåsning fortjener også en tanke: en pakke bygget til en nyere udgave kan opfylde navnet og alligevel fejle under kørsel. Det er her, et fast sæt på fire pakker bliver en byrde, fordi den rigtige liste er en egenskab ved målet, og kun målet kan beregne den.

Det er også her, et fast sæt på fire pakker bliver en byrde. Den rigtige liste er en egenskab ved målet, og målet er den eneste maskine, der kan beregne den korrekt.

At importere en pakke er ikke at installere VPN

På trods af navnet anbringer installationsoperationen APT-data i pakkehåndteringsmiljøet. Den udfører ikke pakketransaktionen. Fuldfør og gennemgå målets faktiske APT-installation ud fra de lokalt leverede data, og læs outputtet i stedet for at antage, at ZIP-filens succes betyder, at softwaren er til stede.

Hvis den transaktion stadig beder om utilgængelige filer, så behold den specifikke manglende afhængighed eller depotfejl og opret den næste anmodning ud fra den. Erstat ikke med en DEB fra en anden udgave, og deaktiver ikke kontrolsum- eller depotgodkendelseskontroller for at tvinge den igennem. Manualen advarer udtrykkeligt mod at springe verifikationen af downloadede filer over, og med god grund: en uverificeret pakke er et værre resultat end en mislykket installation.

Pakker er kun den første halvdel

At installere software er adskilt fra at skaffe det godkendte endepunkt, profilen, tillidsmaterialet og legitimationsoplysningerne, og hver af disse kan have sin egen kontrollerede overdragelse. Et fungerende pakkesæt uden en gyldig profil forbinder til ingenting.

Hold derefter offline-overførselsvejen i live til fremtidige opdateringer. At behandle den første vellykkede forbindelse som slutningen på vedligeholdelsen betyder, at den næste sikkerhedsopdatering venter, indtil nogen med en bil kan komme forbi, og det er sådan et offline-netværk stille sakker år bagud.