Via VPN-enirejo ankoraŭ bezonas vojon por instali ĝisdatigojn

La tunelo funkcias por ĉiuj malantaŭ ĝi, la enirejo plusendas ilian trafikon, kaj tamen la maŝino mem ne povas instali sekurecan ĝisdatigon. Jen la kutima formo de la problemo: la plusenda permeso estis donita al la klientoj, kaj la propraj elirantaj konektoj de la enirejo neniam estis inkluditaj en la plano. La pakaĵadministranto malfermas siajn proprajn konektilojn, de la enirejo, al konservejo, kiun vi verŝajne nenie nomis en la fajromura politiko.

Ŝlosi enirejon estas ĝuste. Ŝlosi ĝin tiel funde, ke ĝi ĉesas ricevi flikaĵojn, estas alia decido, kaj kutime akcidenta.

Loka eligo ne estas klienta plusendo

Plusendaj reguloj regas pakaĵojn, kiuj alvenas de aliloke kaj foriras tra la enirejo. La propra ĝisdatiga trafiko de la enirejo neniam kongruas kun ili; ĝi estiĝas loke kaj sekvas la eligan vojon. Tiu distingo klarigas paneon, kiu ŝajnas neebla dum klienta aliro funkcias perfekte.

Ĝi ankaŭ klarigas politikan mankon, kiu postvivas testojn, ĉar rapida kontrolo de tekkomputilo malantaŭ la tunelo pruvas, ke la plusenda ĉeno funkcias kaj diras nenion pri la propraj konektoj de la gastiganto. Traktu la enirejon kiel du subjektojn: enkursigilo kun plusenda ĉeno kaj gastiganto kun eliga ĉeno. Ambaŭ bezonas opinion, kaj kutime nur unu estas skribata.

Nomu la etapon, kiu malsukcesis

Ĝisdatigaj eraroj nomas malsamajn limojn, kaj ekkapti pordan regulon antaŭ ol legi, kiu malsukcesis, kostas posttagmezon. Konserveja nomo, kiu ne solviĝas, estas demando de solvilo, ne demando de transporto.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Tempolimo post sukcesa serĉo movas la demandon al transporto: kiun adreson, kiun pordon kaj kiun agordan prokurilon la pakaĵadministranto efektive provis. TLS-kontrola malsukceso estas tria, tute alia afero, kaj ĝi signifas, ke la konekto funkciis sufiĉe bone por intertrakti. Plendo pri arkiva aŭtentigo estas la kvara etapo, kaj ĝi koncernas subskribitajn metadatenojn anstataŭ atingeblon. Kvar etapoj, kvar malsamaj riparoj, kaj ping ĉiam priskribas nur unu protokolon, kiun neniu pakaĵadministranto uzas.

Legu la fontliston antaŭ ol aldoni regulon

Listigu la efektivajn fontajn URI-ojn kaj la efikan prokurilan agordon, ne tiujn, kiujn vi memoras. Regulo verkita por simpla HTTP estas senutila, kiam la fonto estas HTTPS, kaj prokurilo, kiun la ŝelo konas, povas esti nevidebla al servo lanĉita ĉe starto kun alia medio.

La dokumentaro pri HTTP-transporto en APT kovras medi-rilatajn kaj APT-specifajn prokurilajn agordojn, inkluzive de elektoj laŭ gastiganto, kaj ĝia HTTPS-transporto havas proprajn kontrolagordojn. La vojo de retumilo kaj la vojo de la pakaĵadministranto estas apartaj vojoj, eĉ sur la sama maŝino.

Rimarku, al kiuj adresfamilioj la fontoj solviĝas. Regulo, kiu permesas nur IPv4, daŭre malsukcesos sur gastiganto, kies fontoj preferas AAAA-rikan registraĵon, kaj la eraro ŝajnas intermita, ĉar ĝi dependas de tio, kiu respondo alvenas unue.

Elektu unu prizorgan vojon kaj tenu ĝin

Ekzistas tri defendeblaj elektoj: prizorga trafiko tra la tunelo, tra administrata ĝisdatiga prokurilo aŭ tra mallarĝa rekta escepto. Elektu unu konscie kaj certigu, ke la solvilo konsentas, ĉar divido, en kiu nomoj solviĝas unudirekte kaj konektoj iras alidirekte, produktas paneojn, kiujn neniu povas klarigi.

Kion ajn vi elektos, ĝi ne rajtas fariĝi senlima rezerva vojo. Se rekta eliranta trafiko estas malpermesita, kiam la tunelo estas malsupre, prizorga escepto, kiu silente permesas ĉion, estas politika ŝanĝo maskita kiel riparo. Tenu la propran finpunkton de la tunelo kaj la bezonojn de bootstrap en aparta kategorio disde konserveja aliro, ĉar ili montras al malsamaj celoj kaj malsukcesas laŭ malsamaj manieroj, do unu escepto ne povas kovri la alian.

Kontrolu sen malfortigi la kontrolojn

Apliku la amplekson per la fajromuro, kiu jam posedas la politikon, anstataŭ aldoni duan administrilon ĉar iu gvidilo uzis ĝin. Poste rulu metadatenan refreŝigon kaj unu realan pakaĵan transakcion sub la prizorgata politiko, kaj legu la eligon anstataŭ nur la elirkodon.

Sukcesa transporto ne estas permeso malstreĉi la kontroladon. Arkiva aŭtentigo kaj la identeco de la TLS-servilo estas apartaj garantioj, kaj malŝalti iun el ili por silentigi eraron ŝanĝas tion, kion vi fidas, ne tion, kion vi povas atingi.

Finu per konscia testado de la kazo sen tunelo. Scii, kiel la enirejo kondutas sen sia tunelo, estas parto de la dezajno; malkovri tion dum interrompo ne estas. Mallevu la tunelon, rulu la metadatenan refreŝigon kaj konfirmu, ke la gastiganto malsukcesas tiel, kiel vi intencis, anstataŭ silente fali reen al malferma vojo. Tenu la akreditaĵojn de konservejoj kaj prokurilo ekster komunaj diagnozoj kaj lasu noton, kiu nomas la posedanton de la ĝisdatiga vojo.