Zure VPN atebideak oraindik behar du eguneratzeak instalatzeko modu bat

Tunela atzean dagoen guztiarentzat funtzionatzen du, atebideak haien trafikoa birbidaltzen du, eta hala ere makinak berak ezin du segurtasun-eguneratze bat instalatu. Hauxe da arazoaren ohiko forma: birbidaltzeko baimena bezeroei eman zitzaien, eta atebidearen beraren irteerako konexioak ez ziren inoiz planean sartu. Pakete-kudeatzaileak bere socket propioak irekitzen ditu, atebidetik, ziurrenik suebakiaren politikan inon izendatu ez duzun biltegi baterantz.

Atebidea blokeatzea zuzena da. Hain zehatz blokeatzea adabakiak jasotzeari uzten dion arte beste erabaki bat da, eta normalean ustekabekoa.

Irteera lokala ez da bezeroen birbidalketa

Birbidaltze-arauak beste leku batetik iristen diren eta atebidetik ateratzen diren paketeei dagozkie. Atebidearen beraren eguneratze-trafikoak ez die inoiz bat egiten; lokalki sortzen da eta irteera-bidea egiten du. Bereizketa horrek ezinezkoa dirudien hutsegite bat azaltzen du, bezeroen sarbidea ezin hobeto dabilen bitartean.

Probak gainditzen dituen politika-hutsune bat ere azaltzen du, tunelaren atzeko ordenagailu bateko egiaztapen azkarrak birbidaltze-katea dabilela frogatzen baitu eta ez baitu ezer esaten ostalariaren beraren konexioei buruz. Atebidea bi subjektu gisa tratatu: birbidaltze-katea duen bideratzaile bat eta irteera-katea duen ostalari bat. Biek iritzia behar dute, eta normalean bakarra idazten da.

Izenda ezazu huts egin duen etapa

Eguneratze-erroreek muga desberdinak izendatzen dituzte, eta portu-arau batera jotzeak, zein huts egin zuen irakurri aurretik, arratsalde bat kostatzen du. Ebatzi ezin den biltegi-izen bat resolver-galdera da, ez garraio-galdera.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Ebazpen arrakastatsu baten ondorengo denbora-mugak garraiora eramaten du galdera: zein helbide, zein portu eta zein proxy konfiguratu saiatu zituen pakete-kudeatzaileak benetan. TLS egiaztapeneko hutsegitea hirugarren gauza bat da, erabat desberdina, eta konexioak negoziatzeko adina ondo funtzionatu zuela esan nahi du. Artxiboaren autentifikazioari buruzko kexa laugarren etapa da, eta sinatutako metadatuei buruzkoa da, ez irisgarritasunari buruzkoa. Lau etapa, lau konponketa desberdin, eta ping batek pakete-kudeatzailerik erabiltzen ez duen protokolo bakarra deskribatzen du beti.

Irakurri iturrien zerrenda arau bat gehitu aurretik

Zerrendatu iturrien benetako URIak eta proxyaren benetako konfigurazioa, gogoratzen dituzunak baino. HTTP sinplerako idatzitako arau bat alferrikakoa da iturria HTTPS denean, eta shellak ezagutzen duen proxy bat ikusezina izan daiteke abioan beste ingurune batekin abiarazitako zerbitzu batentzat.

APTren HTTP garraioaren dokumentazioak ingurunearen proxy-ezarpenak eta APT berariazkoak biltzen ditu, ostalariko aukerak barne, eta haren HTTPS garraioak bere egiaztapen-ezarpenak ditu. Nabigatzaileak egiten duen bidea eta pakete-kudeatzaileak egiten duena bide bereiziak dira, makina berean ere.

Kontuan hartu iturriak zein familiatara ebazten diren. IPv4 soilik baimentzen duen arau batek huts egiten jarraituko du AAAA erregistroa hobesten duten iturriak dituen ostalari batean, eta errorea tartekakoa dirudi, zein erantzun iristen den lehenengoaren araberakoa baita.

Aukeratu mantentze-bide bakarra eta eutsi hari

Hiru aukera defendagarri daude: mantentze-trafikoa tunelaren bidez, kudeatutako eguneratze-proxy baten bidez edo salbuespen zuzen estu baten bidez. Aukeratu bat deliberatuki eta lortu resolverra ados egotea, izenak norabide batean ebazten diren eta konexioak bestera doazen zatiketa batek inork azaldu ezin dituen hutsegiteak sortzen baititu.

Aukeratzen duzuna aukeratzen duzula, ezin da murrizketarik gabeko ordezko baliabide bihurtu. Irteerako trafiko zuzena debekatuta badago tunela behera dagoenean, dena isilka baimentzen duen mantentze-salbuespen bat konponketa mozorroztutako politika-aldaketa da. Eutsi tunelaren berezko amaierako puntuari eta bootstrap-premiei biltegietarako sarbidetik bereizitako kategoria batean, helmuga desberdinetara begiratzen baitute eta modu desberdinetan huts egiten baitute, beraz, salbuespen batek ezin du bestea estali.

Egiaztatu egiaztapenak ahuldu gabe

Aplikatu irismena politika jada duen suebakiaren bidez, bigarren kudeatzaile bat gehitu beharrean gida batek hura erabili zuelako. Gero exekutatu metadatuen eguneratze bat eta benetako pakete-transakzio bat mantendutako politikaren pean, eta irakurri irteera, irteera-kodea soilik baino.

Garraio arrakastatsua ez da egiaztapena lasaitzeko baimena. Artxiboaren autentifikazioa eta TLS zerbitzariaren identitatea berme bereiziak dira, eta horietako edozein desaktibatzeak errore bat isilarazteko aldatzen du zertan konfiatzen duzun, ez zertara irits zaitezkeen.

Amaitu tunelik gabeko kasua deliberatuki probatuz. Atebideak bere tunelik gabe nola jokatzen duen jakitea diseinuaren parte da, etenaldi batean hori aurkitzea ez. Jaitsi tunela, exekutatu metadatuen eguneratzea eta berretsi ostalariak nahi duzun moduan huts egiten duela, isilka bide ireki batera erortzen den beharrean. Eduki biltegien eta proxyaren kredentzialak diagnostiko partekatuetatik kanpo eta utzi ohar bat eguneratze-bidearen jabea nor den izendatzen duena.