VPN-lüüsi värskendus ebaõnnestub: lugege etappi enne väljapääsu avamist
Ebaõnnestunud värskendus nimetab etappi, mitte puuduvat porti. Siduge teade selle omanikuga, lugege puhverserveri teekonda ja otsustage seejärel teadlikult hoolduspoliitika üle.
Turvavärskenduste paigaldamisest keeldumine on vaid üks halb nädal sellest, kui muutute kellegi teise probleemiks, ja lüüs, mis kliente sisse laseb, on selle harjumuse arendamiseks kõige lihtsam koht. Tavaline põhjus ei ole puuduv marsruut, vaid puuduv otsus: keegi ei öelnud, kuidas host ise peaks hoidla juurde jõudma, kui klientide edasisaatmine on meelega kitsas. See otsus tuleb teha selgesõnaliselt ja see peab olema kitsam kui väljamineva poliitika üheks pärastlõunaks väljalülitamine.
Neli etappi, neli erinevat omanikku
Värskenduse tõrge on nimetatud etapp, ükskõik kas teade seda ütleb või mitte, ja iga etapp kuulub erinevale omanikule. Nimi, mida ei õnnestu lahendada, on lahendaja küsimus. Ühendus, mis aegub, on transpordi, puhverserveri või kaugema otsa küsimus. TLS-identiteedi viga on usalduse küsimus, ja tagasilükatud arhiivi metaandmed on allkirja küsimus. Neli etappi, neli omanikku ja pordireegel vastab alati ainult ühele neist.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping ja nimelahendus on kaks testi, mille poole inimesed kõigepealt haaravad, ja mõlemad vastavad küsimustele, mida keegi ei esitanud. Kajavastus kasutab teistsugust protokolli kui hoidla ühendus, ja edukas päring peatub nimelahendusel ilma allalaadimist proovimata. Mõlemad võivad õnnestuda, samal ajal kui tegelik tehing ebaõnnestub, ja mõlemad võivad ebaõnnestuda põhjustel, mis teekonnaga seotud ei ole.
Lugege teekonda, mille haldur tegelikult läbib
Uurige seadistatud allika-URI-sid ja tegelikku puhverserveri lahendust, selle asemel et üht neist eeldada. Lihtsa HTTP jaoks kirjutatud reegel ei ole parandus, kui hoidla räägib HTTPS-i, ja organisatsioon, mis nõuab puhverserverit, on tee juba valinud. Paketihaldurid järgivad keskkonnamuutujaid ja oma konfiguratsiooni, ning hostipõhised seaded võivad globaalse üle kirjutada. See, mida teeb interaktiivne brauser, ei pea olema see, mida teeb haldur.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT transpordi dokumentatsioon kirjeldab, millised seaded kehtivad millise URI skeemi jaoks ja kuidas hostipõhiseid valikuid kirjutatakse. Hoidke käskude väljund pileti juures, sest see eristab puhverserveri probleemi puuduvast marsruudist kiiremini kui ükskõik kui palju pingi tulemusi. Kirjutage üles täpne sihtkoht, port ja protokoll, mida haldur proovib, ja laske tulemüüri muudatusel toetuda sellele kirjele, mitte oletatud peegel aadressile, mis kuude jooksul vananeb.
Valige hoolduspoliitika, mitte erand
Kolm poliitikat on kaitstavad: hooldada tunneli kaudu, hooldada hallatava värskenduspuhverserveri kaudu või hooldada kitsalt volitatud otsetee kaudu. Igaüks eeldab sellele sobivat lahendaja lahendust. See, mis ei ole kaitstav, on erand, mis muutub vaikselt piiramatuks varuteeks alati, kui tunnel maha kukub.
Kirjutage valitud poliitika koos omanikuga üles, sest järgmine operaator leiab reegli, mitte selle taga oleva põhjenduse. Rakendage luba olemasoleva tulemüüri ja võrguomaniku kaudu, selle asemel et reegleid tühjendada või ühe hosti jaoks teist poliitikahaldurit lisada. Katke aadressiperekonnad ja teenuse lõpp-punktid, mida tegelik allikas kasutab, ja vaadake nimekiri üle, kui hoidla kolib.
Kontrollige usaldust nõrgestamata
Edukas transport ei ole luba kontrolli lõdvendada: arhiivi autentimine ja TLS-serveri identiteet on kaks eraldi kontrolli, ja kummagi väljalülitamine paneb vea kaduma, muutes samal ajal seda, mida host aktsepteerib. Vahendav puhverserver on võrguomaniku usaldusotsus, mitte põhjus kontrolli kohapeal välja lülitada, ja hoidla mandaadid ei kuulu jagatud diagnostikasse, sest üksikasjalik logi on kõige lihtsam koht nende lekitamiseks.
Nõustuge muudatusega kontrollitud metaandmete hankimise ja seejärel ühe kinnitatud paketitehingu abil, seejärel testige, mis juhtub, kui tunnel maha kukub. Hooldustee, mis katkestuse ajal vaikselt laieneb, on halvem kui see, mis ebaõnnestub suletult, ja tulemuseks peaks olema värskendustee, millel on nimetatud omanik ja piiratud ulatus.