Veebisaidid laadivad VPN-i kaudu, kuid apt ei jõua hoidlani

VPN-i kaudu töötav brauser ei ütle midagi apt-i puhverserveri seadete kohta. Lugege läbi nurjuv etapp, trükkige välja kehtiv konfiguratsioon ja seadke seejärel puhverserver, mida apt loeb.

VPN ühendub, sisemine viki laadib brauseris ja apt update ripub endiselt peegli otsas, kuhu see ei jõua. Sellel pildil ei ole tunnelis midagi katki. Brauser ja paketihaldur tegid kaks eraldi puhverserveri otsust, ja ainult üks neist oli seadistatud.

Milline otsus nurjus, on ainus, mida tasub kõigepealt kindlaks teha.

Lugege viga enne, kui seadet puutute

Iga etapp jätab erineva teate. Nimi, mis ei lahene kunagi, on DNS; ühendus, mis ei lõpe kunagi, on marsruutimine või tulemüür; kohene 407 on puhverserveri autentimine; kaebus sertifikaadi kohta on TLS-i kontroll; ja allkirja hoiatus on hoidla metaandmed. Need viis riket vajavad viit erinevat parandust, ja DNS-probleemi peale kleebitud puhverserveri rida ainult liigutab kinnijäämist.

Kopeerige täpne rida ja hoidla, mille see nimetab, enne kui midagi muudate. Hägune mälestus „see läks aeguma“ on see, mis muudab kümne minuti diagnoosi terveks pärastlõunaks.

APT-l on oma puhverserveri seaded

APT loeb /etc/apt/apt.conf.d/, peamist apt.conf ja iga faili, mille APT_CONFIG nimetab. See ei loe töölaua puhverserveri profiili, GNOME-i võrgusätet ega brauseri laiendust. Transport aga järgib puhverserveri keskkonnamuutujaid, mistõttu teie kestas töötav export https_proxy=... ei tõesta midagi taimeri kohta, mis käivitub teises keskkonnas.

Trükkige välja, mida nurjuv protsess tegelikult näeb: apt-config dump | grep -i proxy.

Käivitage see selle kasutajana, kelle all nurjuv toiming töötab. Kui root loeb teist failikogumit või systemd-taimer käivitub teises keskkonnas, on väljund erinev, ja see erinevus on teie vastus. Kaks vastuolulist puhverserveri väärtust on hullem kui üks puuduv, sest transport järgib kõige täpsemat vastet, mille leiab.

Seadke puhverserver sinna, kuhu konfiguratsiooni omanik seda ootab

Administraatori kinnitatud selgesõnalise puhverserveri jaoks piisab väikesest fragmendist uues failis:

Acquire::http::Proxy "http://proxy.corp.example:3128/";
Acquire::https::Proxy "http://proxy.corp.example:3128/";
Acquire::http::Proxy::archive.example.internal "DIRECT";

Kolmas rida on see osa, mille enamik näiteid välja jätab. Hostipõhine võti alistab üldise väärtuse, nii et tunneli kaudu kättesaadav sisemine peegel võib puhverserveri vahele jätta, samal ajal kui kõik muu käib endiselt selle kaudu. DIRECT on selle jaoks dokumenteeritud väärtus, mitte tühi string.

Lisage fragment uue nummerdatud failina, näiteks /etc/apt/apt.conf.d/95proxy. Distributsiooni faili ülekirjutamine tähendab, et järgmine paketiuuendus võtab teie muudatuse vaikselt tagasi.

Kasutajatunnused jäävad URI-st välja

APT transpordi viide osutab autentimiseks failile apt_auth.conf, ja sinna kuuluvad kasutajanimi ja parool. Nende manustamine puhverserveri URI-sse viib need protsesside loenditesse, kesta ajalukku ja igasse piletisse kleebitud konfiguratsioonitrükk. Autentimisfail vajab rangeid õigusi, sest see on kasutajatunnuste hoidla.

Kontrollige ka skeemi. HTTPS-hoidla on endiselt kättesaadav HTTP-puhverserveri kaudu; transport on peegli URI-skeemist eraldi valik.

Graafiline tarkvarakeskus on eraldi liides. Kui see kasutab PackageKitit või snap-tausta, ei muuda APT-fragment selle jaoks midagi, seega kontrollige, milline protsess tegi nurjunud päringu.

Kontrollige teed, mitte ainult väljumiskoodi

Kui fragment on paigas, jälgige päringut selle asemel, et usaldada rohelist tulemust. apt-get -o Debug::Acquire::http=true update trükib ühenduskatse, valitud puhverserveri ja vastusekoodi, mis eristab vale puhverserveri sellest, mis teid keeldus.

Seejärel testige juhtumit, mis ei peaks töötama. Ühendage VPN lahti ja kinnitage, et sisemine peegel lakkab vastamast; kui see laeb endiselt, marsruudib miski tunnelist mööda või teenindab teid vananenud vahemälu. Kinnitage, et lubatud tee kontrollib endiselt TLS-i ja kontrollib endiselt hoidla allkirju, sest liiklust kontrolliv puhverserver ei ole põhjus kumbagi välja lülitada. Kinnitage ka, et autentimata klient saab selge keeldumise, mitte vaikse aegumise.

Hoidke töötav fragment ja nurjunud väljund koos muudatuste logis. Järgmine inimene, kes sama kinnijäämise otsa satub, tunneb kahe rea erinevuse ära kiiremini kui ükskõik millisest selgitusest.

Seotud artiklid