Ĝisdatigo de la VPN-pordego malsukcesas: legu la etapon antaŭ ol malfermi la eliron
Malsukcesa ĝisdatigo nomas etapon, ne mankantan pordon. Parigu la mesaĝon kun ĝia posedanto, legu la prokuran vojon kaj poste decidu la prizorgan politikon konscie.
Rifuzi instali sekurecajn ĝisdatigojn estas nur unu malbona semajno for de tio, ke vi fariĝu la problemo de iu alia, kaj pordego, kiu akceptas klientojn, estas la plej facila loko por disvolvi tiun kutimon. La kutima kaŭzo ne estas mankanta vojo, sed mankanta decido: neniu diris, kiel la gastiganto mem devas atingi deponejon, kiam la plusendado de klientoj estas intence mallarĝa. Tiu decido devas esti farita eksplicite, kaj ĝi devas esti pli mallarĝa ol malŝalti la eliran politikon por posttagmezo.
Kvar etapoj, kvar malsamaj posedantoj
Ĝisdatiga malsukceso estas nomita etapo, ĉu la mesaĝo diras tion aŭ ne, kaj ĉiu etapo apartenas al malsama posedanto. Nomo, kiu ne solviĝas, estas demando por la solvilo. Konekto, kiu tempas, estas demando por transporto, prokuro aŭ la malproksima fino. TLS-identeca eraro estas demando pri fido, kaj rifuzitaj arkivaj metadatenoj estas demando pri subskribo. Kvar etapoj, kvar posedantoj, kaj pordoregulo ĉiam respondas nur unu el ili.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping kaj nomrezolucio estas la du testoj, kiujn homoj unue uzas, kaj ambaŭ respondas demandojn, kiujn neniu starigis. Eĥa respondo uzas alian protokolon ol la deponeja konekto, kaj sukcesa serĉo haltas ĉe nomrezolucio sen testi la elŝuton. Ambaŭ povas sukcesi dum la reala transakcio malsukcesas, kaj ambaŭ povas malsukcesi pro kialoj senrilataj al la vojo.
Legu la vojon, kiun la administrilo efektive prenas
Inspektu la agorditajn fontajn URI-ojn kaj la efektivan prokuran aranĝon anstataŭ supozi unu el ili. Regulo skribita por simpla HTTP ne estas riparo, kiam la deponejo parolas HTTPS, kaj organizo, kiu postulas prokuron, jam elektis la vojon. Pakaĵadministriloj respektas medivariablojn kaj sian propran agordon, kaj gastigantspecifaj agordoj povas anstataŭigi tutmondan. Tio, kion faras interaga retumilo, ne devas esti tio, kion faras la administrilo.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyLa APT-transporta dokumentaro priskribas, kiuj agordoj validas por kiu URI-skemo kaj kiel gastigantspecifaj elektoj estas skribitaj. Konservu la eligon de la komandoj kun la bileto, ĉar ĝi apartigas prokuran problemon de mankanta vojo pli rapide ol ajna nombro da pingaj rezultoj. Notu la precizan celon, pordon kaj protokolon, kiujn la administrilo provas, kaj lasu la fajroŝirma ŝanĝo baziĝi sur tiu registro anstataŭ sur divenita spegula adreso, kiu malmoderniĝas ene de monatoj.
Elektu prizorgan politikon, ne escepton
Tri politikoj estas defendeblaj: prizorgi tra la tunelo, prizorgi tra administrata ĝisdatiga prokuro, aŭ prizorgi tra mallarĝe rajtigita rekta vojo. Ĉiu el ili implicas solvilan aranĝon, kiu kongruas kun ĝi. Tio, kio ne estas defendebla, estas escepto, kiu silente fariĝas senlima rezerva vojo ĉiufoje, kiam la tunelo falas.
Skribu la elektitan politikon kun posedanto, ĉar la sekva operatoro trovos la regulon kaj ne la rezonadon malantaŭ ĝi. Apliku la permeson tra la ekzistanta fajroŝirmilo kaj la reta posedanto anstataŭ malplenigi regulojn aŭ aldoni duan politikan administrilon por unu gastiganto. Kovru la adresajn familiojn kaj la servajn finpunktojn, kiujn la reala fonto uzas, kaj reviziu la liston, kiam la deponejo translokiĝas.
Kontrolu sen malfortigi fidon
Sukcesa transporto ne estas permeso malstreĉi kontroladon: arkiva aŭtentikigo kaj TLS-servila identeco estas du apartaj kontroloj, kaj malŝalti ajnan el ili forigas eraron dum ĝi ŝanĝas, kion la gastiganto akceptos. Interkapta prokuro estas fida decido de la reta posedanto, ne kialo malŝalti la kontrolon loke, kaj deponejaj akreditaĵoj ne apartenas al dividita diagnozado, ĉar detala protokolo estas la plej facila loko por liki ilin.
Akceptu la ŝanĝon per kontrolita metadateno-elŝuto sekvita de unu aprobita paka transakcio, poste testu, kio okazas, kiam la tunelo falas. Prizorga vojo, kiu silente larĝiĝas dum paneo, estas pli malbona ol unu, kiu malsukcesas fermite, kaj la rezulto devus esti ĝisdatiga vojo kun nomita posedanto kaj limigita amplekso.