APT-Hold oder Upgrade-Pfad: einen VPN-Client zurückrollen

Client-Updates brechen Tunnel, ältere Versionen funktionieren weiter, und das lässt zwei naheliegende Mittel übrig. Das eine hält das Paket an seinem Platz und wartet auf eine Korrektur; das andere geht sofort zu einer unterstützten Regelung über. Sie sind nicht gleich sicher, und keines ist eine Wartungsstrategie ohne Ausstieg. Vergleichen Sie sie danach, was sie tatsächlich einfrieren, bevor Sie wählen.

Zwei Mittel für eine Regression

Ein Paket zu halten behält die funktionierende Version installiert und hindert APT daran, sie zu verschieben. Es kauft Zeit, hält Nutzer verbunden und lässt den zugrunde liegenden Fehler unberührt. Vorwärts zu gehen bedeutet, die unterstützte Version zu finden, die die Regression behebt, oder den Verbindungsverantwortlichen auf etwas zu verlagern, das die Distribution noch pflegt. Das kostet mehr Arbeit im Vorfeld und beseitigt das bestehende Risiko.

Die Wahl hängt von drei Tatsachen ab, die Sie vor der Entscheidung haben sollten: welche Komponente regrediert ist, ob eine korrigierte Version existiert und wie lange der vorübergehende Zustand toleriert werden kann.

Den Fehler festnageln, bevor Sie eines der beiden wählen

Ein Kern-Update von NetworkManager, ein VPN-Plugin-Update und eine Regression eines Resolver-Helfers sehen vom Platz des Nutzers identisch aus und haben unterschiedliche Rückrollkandidaten. Erfassen Sie die genauen Pakete, Versionen und den ersten neuen Fehler.

apt-cache policy network-manager network-manager-openvpn
dpkg -l | grep -E 'network-manager|openvpn|wireguard'

Paketmetadaten können veraltet sein, wenn die Listen nicht aktualisiert wurden; lesen Sie sie daher als Hinweis und gleichen Sie sie mit der tatsächlich installierten Version ab. Nehmen Sie keine Zielversion aus einem Forumsbeitrag; dieselbe Versionszeichenfolge aus einer anderen Veröffentlichung kann einen anderen Abhängigkeitssatz tragen.

Vergleichen Sie, was ein Hold abdeckt

Ein Hold verhindert, dass ein Paket automatisch installiert, aktualisiert oder entfernt wird. Er friert aber nicht seine Abhängigkeiten ein, repariert keine Verbindung und macht eine alte Binärdatei nicht sicher. Genau diese Lücke ist der ganze Vergleich. Kam die Regression aus einer Bibliothek, gegen die der Client linkt, ändert das Halten des Clients nichts, während die Bibliothek sich weiter bewegt.

sudo apt-get -s install network-manager=1.42.4-1
apt-mark showhold

Simulieren Sie zuerst das Downgrade und lesen Sie die vorgeschlagenen Änderungen vollständig. Ein Downgrade, das eine Abhängigkeit entfernt, die der Desktop braucht, ist ein anderer Vorfall, und die Simulation ist der billigste Ort, ihn zu entdecken. Wenn ein Hold wirklich die richtige vorübergehende Grenze ist, schreiben Sie ihn als Entscheidung mit einem Verantwortlichen, einem Grund und einer Bedingung zum Aufheben auf. Ein Hold ohne Verantwortlichen wird zu dauerhafter Infrastruktur, die niemand anzufassen wagt.

Vergleichen Sie die Ausstiegspfade

Der Vorwärtspfad ist eine Korrektur der Distribution oder des Anbieters, angewendet, nachdem sie an einer unabhängigen Verbindung verifiziert wurde. Das hält das System innerhalb seines unterstützten Update-Stroms und schließt die Exposition. Der Migrationspfad ersetzt den Client oder den Host durch etwas, das die Distribution noch pflegt. Er ist mehr Arbeit und oft die einzige ehrliche Antwort, wenn die regredierte Komponente in diesem Release-Zweig keine korrigierte Version hat.

sudo apt-mark unhold network-manager
sudo apt update
sudo apt full-upgrade

Welchen Ausstieg Sie auch wählen, verifizieren Sie das genaue Profil, den Authentifizierungspfad, die Routen, das DNS-Verhalten und die Wiederverbindung, bevor Sie es für erledigt erklären. Ein Tunnel, der einmal hochkommt, ist nicht dasselbe wie einer, der Suspend, einen Netzwerkwechsel und einen Neustart übersteht. Bewahren Sie die Fehlerbelege für den Fehlerbericht auf: Paketversionen, Journalauszüge, die Profilstruktur ohne Geheimnisse. Hängen Sie niemals private Schlüssel oder Zugangsdaten an, um einen Bericht vollständiger zu machen.

Was der Eintrag enthalten muss

Schreiben Sie die Entscheidung in vier Zeilen: was regrediert ist, was gehalten oder geändert wurde, wer den vorübergehenden Zustand verantwortet und was ihn aufhebt. Fügen Sie die durchgeführte Verifikation hinzu, weil der nächste Ingenieur sie wiederholen wird.

Ein Hold mit einem Ausstiegsdatum ist eine verwaltete Rückrollgrenze. Ein Hold ohne eines ist ein unerklärtes Downgrade, das stillschweigend Teil der Infrastruktur geworden ist.