VPN atebidearen eguneraketak huts egiten du: irakurri fasea irteera ireki aurretik
Huts egindako eguneraketa batek fase bat aipatzen du, ez falta den portu bat. Lotu mezua bere jabeari, irakurri proxyaren bidea eta gero erabaki mantentze-politika nahita.
Segurtasun-eguneraketak instalatzeari uko egitea aste txar bat besterik ez da beste norbaiten arazo bihurtzeko, eta bezeroak onartzen dituen atebidea da ohitura hori garatzeko lekurik errazena. Ohiko arrazoia ez da falta den ibilbide bat, falta den erabaki bat baizik: inork ez zuen esan nola iritsi behar duen ostalariak berak biltegi batera bezeroen birbidalketa nahita estu dagoenean. Erabaki hori modu esplizituan hartu behar da, eta arratsalde batez irteera-politika itzaltzea baino estuagoa izan behar du.
Lau fase, lau jabe desberdin
Eguneraketa-hutsegitea izendatutako fase bat da, mezuak esaten duen ala ez, eta fase bakoitza jabe desberdin batena da. Ebazten ez den izen bat ebazlearen kontua da. Denboraz amaitzen den konexio bat garraioaren, proxyaren edo urruneko muturraren kontua da. TLS identitatearen errore bat konfiantzaren kontua da, eta arbitxategiko metadatuak baztertuak sinaduraren kontua dira. Lau fase, lau jabe, eta portu-arau batek horietako bati bakarrik erantzuten dio beti.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping eta izenen ebazpena dira jendeak lehenengo hartzen dituen bi probak, eta biek inork egin ez zituen galderak erantzuten dituzte. Oihartzun-erantzun batek biltegiko konexioak baino protokolo desberdina erabiltzen du, eta bilaketa arrakastatsu bat izenen ebazpenean gelditzen da jasoketa probatu gabe. Biak pasa daitezke benetako transakzioak huts egiten duen bitartean, eta biak huts egin dezakete bidearekin zerikusirik ez duten arrazoiengatik.
Irakurri kudeatzaileak benetan hartzen duen bidea
Egiaztatu konfiguratutako iturburu-URIak eta proxyaren benetako antolaketa, horietako bat suposatu beharrean. HTTP hutsunerako idatzitako arau bat ez da konponketa biltegiak HTTPS hitz egiten duenean, eta proxy bat derrigorrezkoa duen erakundeak bidea aukeratu du jada. Pakete-kudeatzaileek ingurumen-aldagaiak eta beren konfigurazioa errespetatzen dituzte, eta ostalariaren berariazko ezarpenek global bat gaindi dezakete. Nabigatzaile interaktibo batek egiten duena ez da nahitaez kudeatzaileak egiten duena.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT garraioaren dokumentazioak deskribatzen du zein ezarpen aplikatzen zaizkion zein URI eskema eta nola idatzten diren ostalariaren berariazko hautapenak. Gorde komandoen irteera txartelarekin, proxy arazo bat falta den ibilbide batetik bereizten baitu ping emaitza edozein kopuruk baino azkarrago. Idatzi kudeatzaileak saiatzen duen helmuga, portu eta protokolo zehatza, eta utzi suebakiko aldaketa erregistro horretan oinarritzen, hilabeteetan zaharkituko den ispilu helbide batean beharrean.
Aukeratu mantentze-politika bat, ez salbuespen bat
Hiru politika defendagarriak dira: tunelaren bidez mantentzea, kudeatutako eguneraketa-proxy baten bidez mantentzea edo baimen estuarekin baimendutako ibilbide zuzen baten bidez mantentzea. Bakoitzak harekin bat datorren ebazle-antolaketa dakar. Defendagarria ez dena tunela erortzen den bakoitzean isilpean ordezko bide mugagabe bihurtzen den salbuespena da.
Idatzi aukeratutako politika jabe batekin, hurrengo operadoreak araua aurkituko baitu eta ez haren atzeko arrazoibidea. Aplikatu baimena dagoeneko suebakiaren eta sarearen jabearen bidez, arauak hustu edo host bakarrerako bigarren politika-kudeatzaile bat gehitu beharrean. Estali benetako iturriak erabiltzen dituen helbide-familia eta zerbitzu-muturrak, eta berrikusi zerrenda biltegia lekuz aldatzen denean.
Egiaztatu konfiantza ahuldu gabe
Garraioaren arrakasta ez da egiaztapena lasaitzeko baimena: artxiboaren autentifikazioa eta TLS zerbitzariaren identitatea bi egiaztapen desberdin dira, eta edozein desaktibatzeak errore bat desagerrarazten du ostalariak onartuko duena aldatzen duen bitartean. Intertzeptatzen duen proxy bat sarearen jabearen konfiantza-erabakia da, ez egiaztapena bertan itzaltzeko arrazoia, eta biltegiko kredentzialek ez dute diagnostiko partekatuan egon behar, erregistro zehatza baita horiek filtratzeko lekurik errazena.
Onartu aldaketa metadatuen berreskuratze kontrolatu batekin eta ondoren onartutako pakete-transakzio batekin, eta gero probatu zer gertatzen den tunela erortzen denean. Etendura batean isilpean zabaltzen den mantentze-bide bat itxita huts egiten duena baino okerragoa da, eta emaitza izendatutako jabea eta irismen mugatua dituen eguneraketa-bide bat izan beharko litzateke.