Teie VPN-lüüs vajab endiselt viisi uuenduste paigaldamiseks

Tunnel töötab kõigi jaoks selle taga, lüüs edastab nende liiklust, ja ometi ei saa masin ise turvauuendust paigaldada. See on probleemi tavaline kuju: edastusluba anti klientidele ja lüüsi enda väljuvad ühendused jäid plaanist välja. Paketihaldur avab oma pistikud, lüüsist, hoidla poole, mida te tõenäoliselt pole tulemüürireeglites kusagil nimetanud.

Lüüsi lukustamine on õige. Selle nii põhjalik lukustamine, et see lakkab parandusi saamast, on teine otsus, ja tavaliselt juhuslik.

Kohalik väljund ei ole kliendi edastamine

Edastusreeglid kehtivad pakettidele, mis saabuvad mujalt ja väljuvad lüüsi kaudu. Lüüsi enda uuendusliiklus ei vasta neile kunagi; see tekib kohapeal ja läbib väljundtee. See erinevus selgitab riket, mis tundub võimatu, samal ajal kui klientide juurdepääs töötab laitmatult.

See selgitab ka poliitika lünka, mis elab testid üle, sest kiire kontroll tunnelitaguse sülearvutiga tõestab, et edastusahel töötab, ega ütle midagi hosti enda ühenduste kohta. Käsitlege lüüsi kahe subjektina: ruuter edastusahelaga ja host väljundahelaga. Mõlemad vajavad seisukohta ja tavaliselt kirjutatakse üles ainult üks.

Nimetage nurjunud etapp

Uuendustõrked nimetavad erinevaid piire, ja pordireegli järele haaramine enne, kui loete, milline neist nurjus, maksab pärastlõuna. Hoidla nimi, mida ei saa lahendada, on resolveri küsimus, mitte transpordi küsimus.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Aegumine pärast edukat lahendamist viib küsimuse transpordile: millist aadressi, millist porti ja millist konfigureeritud puhverserverit paketihaldur tegelikult proovis. TLS-i kontrollimise tõrge on kolmas, täiesti teine asi, ja see tähendab, et ühendus toimis piisavalt hästi läbirääkimiseks. Kaebus arhiivi autentimise kohta on neljas etapp ja see puudutab allkirjastatud metaandmeid, mitte kättesaadavust. Neli etappi, neli erinevat parandust, ja ping kirjeldab alati ainult ühte protokolli, mida ükski paketihaldur ei kasuta.

Lugege allikate loendit enne reegli lisamist

Loetlege tegelikud allika-URI-d ja tegelik puhverserveri konfiguratsioon, mitte need, mida mäletate. Lihtsa HTTP jaoks kirjutatud reegel on kasutu, kui allikas on HTTPS, ja puhverserver, mida kest teab, võib olla nähtamatu teenusele, mis käivitatakse alglaadimisel teise keskkonnaga.

APT HTTP-transpordi dokumentatsioon hõlmab keskkonna- ja APT-spetsiifilisi puhverserveri seadeid, sealhulgas valikuid hosti kohta, ja selle HTTPS-transpordil on oma kontrollimisseaded. Brauseri tee ja paketihalduri tee on eraldi teed, isegi samas masinas.

Pange tähele, millistesse peredesse allikad lahenduvad. Reegel, mis lubab ainult IPv4, jätkab nurjumist hostil, mille allikad eelistavad AAAA-kirjet, ja tõrge tundub katkendlik, sest sõltub sellest, milline vastus saabub esimesena.

Valige üks hooldustee ja hoidke sellest kinni

On kolm kaitstavat valikut: hooldusliiklus tunneli kaudu, hallatava uuenduspuhverserveri kaudu või kitsa otsese erandi kaudu. Valige üks teadlikult ja tehke nii, et resolver on sellega nõus, sest jaotus, kus nimed lahenduvad ühes suunas ja ühendused lähevad teises, tekitab tõrkeid, mida keegi ei oska seletada.

Mida iganes te valite, see ei tohi muutuda piiramatuks varuvariandiks. Kui otsene väljuv liiklus on keelatud, kui tunnel on maas, on hoolduserand, mis vaikselt lubab kõike, paranduseks maskeeritud poliitikamuudatus. Hoidke tunneli enda lõpp-punkt ja bootstrap-vajadused eraldi kategoorias hoidlate juurdepääsust, sest need osutavad erinevatele sihtkohtadele ja nurjuvad erineval viisil, nii et üks erand ei saa katta teist.

Kontrollige kontrolle nõrgendamata

Rakendage ulatust tulemüüri kaudu, mis juba omab poliitikat, selle asemel et lisada teine haldur, sest üks juhend kasutas seda. Seejärel käivitage metaandmete värskendus ja üks tõeline paketitehing hooldatava poliitika all, ja lugege väljundit, mitte ainult väljumisolekut.

Edukas transport ei ole luba kontrollimist lõdvendada. Arhiivi autentimine ja TLS-serveri identiteet on eraldi tagatised, ja kummagi keelamine tõrke vaigistamiseks muudab seda, mida usaldate, mitte seda, kuhu jõuate.

Lõpetage tunneli puudumise juhtumi teadliku testimisega. Teadmine, kuidas lüüs ilma tunnelita käitub, on projekteerimise osa, selle avastamine katkestuse ajal ei ole. Võtke tunnel maha, käivitage metaandmete värskendus ja kinnitage, et host nurjub kavatsetud viisil, selle asemel et vaikselt avatud teele tagasi langeda. Hoidke hoidlate ja puhverserveri mandaadid jagatud diagnostikast väljas ja jätke märkus, mis nimetab, kellele uuendustee kuulub.