Offline-VPN-paketit: kysy kohteelta, mitä se tarvitsee

Tarvitset VPN-asiakasohjelman päästäksesi verkkoon, joka normaalisti toimittaisi sen paketit, ja se on sievä pieni kehä. Yhden OpenVPN DEB -paketin lataaminen toisella koneella päättyy yleensä toiseen puuttuvaan riippuvuuteen, sitten kolmanteen ja sitten iltaan, joka kuluu kirjastoversioiden perässä juoksemiseen. Vaihtoehto on antaa irrotetun koneen itse, omilla ehdoillaan, kertoa mitä sen paketinhallinta tarvitsee. Kaikki alla seuraa tästä kysymyksen kääntämisestä: kuka kysyy.

Debian-perheen järjestelmissä tuo keskustelu käydään apt-offlinen kautta, joka on pyynnön ja palautuksen työnkulku. Sen oma ajonaikainen ympäristö on ensin oltava kohteessa, asennettuna hyväksytystä mediasta tai toisesta järjestelmänvalvojan hallitsemasta käynnistyksestä, koska mikään työkalu ei voi käynnistää itseään tyhjästä.

Aloita kohteen pakettitilasta, älä avustajan tilasta

Kirjaa kohteen jakelujulkaisu, käyttäjäavaruuden arkkitehtuuri ja määritetyt pakettilähteet ennen kaikkea muuta. Nämä kolme tosiseikkaa ratkaisevat, mikä VPN-toteutus ja mikä työpöytäintegraatio sopivat, ja ne ovat tosiseikat, joita verkkoon liitetty avustaja ei voi tarjota.

Avustaja lataa tiedostoja; siitä ei tule riippuvuuksien perustasoa. Uudemmassa kannettavassa, johon OpenVPN on jo asennettu, on täysin erilainen pakettitila kuin kohteessa, joten sen menestys ei todista mitään siitä, mitä kohde voi hyväksyä.

Päätä myös, mitä oikeastaan haluat. VPN-moottori, NetworkManager-palvelun liitännäinen ja graafinen editori ovat erillisiä paketteja, ja oikea valinta riippuu julkaisusta ja siitä, miten käyttäjä hallitsee yhteyttä. Näytötön palvelin tarvitsee moottorin ja asetustiedoston; työpöytä tarvitsee liitännäisen, joka antaa sen verkkoasetusten omistaa tunnelin. Väärän joukon pyytäminen tuottaa asennuksen, joka onnistuu, ja yhteyden, jota kukaan ei saa käyntiin.

Kaksi matkaa, tässä järjestyksessä

Käsikirja erottaa kolme toimintoa: pyynnön luominen irrotetussa järjestelmässä, lataaminen liitetyssä avustajassa ja takaisin tuonti kohteeseen. Päivitä kohteen pakettivaraston metatiedot ennen pakettien pyytämistä, koska pakettipyyntö rakennetaan näistä metatiedoista ja vanhentuneet hakemistot tuottavat pyyntöjä, joita avustaja ei voi täyttää.

Kohteessa järjestelmänvalvojan komento muodossa apt-offline set vpn-meta.sig --update kirjoittaa päivityspyynnön. Vie tiedosto liitettyyn koneeseen ja lataa paketti komennolla apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Tuo paketti takaisin ja asenna se kohteeseen komennolla apt-offline install vpn-meta.zip, jälleen järjestelmänvalvojana.

Luo nyt pakettipyyntö päivitetyistä metatiedoista, esimerkiksi apt-offline set vpn-deps.sig --install-packages openvpn, ja toista matka uudella paketin nimellä. Pidä jokainen pyyntö parina sen tuottaman paketin kanssa; vanhempien metatietojen pohjalta luotu paketti ei ole sama pyyntö, vaikka tiedostonimet näyttäisivät vaihdettavilta.

Lisää integraatiopaketit vain silloin, kun suunnittelu niitä vaatii

Jos työpöydän on määrä hallita tunnelia verkkoasetustensa kautta, pyyntö tarvitsee vastaavan liitännäisen moottorin lisäksi. Sisällytä ne konkreettiset pakettinimet, joita julkaisusi tarjoaa, sen sijaan että käyttäisit toisesta jakelusta muistettua luetteloa, ja luo tuore pyyntö aina kun luettelo muuttuu. Myös versioiden kiinnittäminen ansaitsee ajatuksen: uudemmalle julkaisulle rakennettu paketti voi täyttää nimen ja silti epäonnistua ajonaikaisesti. Juuri tässä kiinteästä neljän paketin joukosta tulee taakka, koska oikea luettelo on kohteen ominaisuus ja vain kohde voi laskea sen.

Juuri tässä myös kiinteä neljän paketin joukko muuttuu taakaksi. Oikea luettelo on kohteen ominaisuus, ja kohde on ainoa kone, joka voi laskea sen oikein.

Paketin tuonti ei ole VPN:n asentamista

Nimestään huolimatta asennustoiminto tallentaa APT-tiedot paketinhallintaympäristöön. Se ei suorita pakettitapahtumaa. Suorita ja tarkista kohteen todellinen APT-asennus paikallisesti toimitetuista tiedoista ja lue tuloste sen sijaan, että olettaisit ZIP-tiedoston onnistumisen tarkoittavan ohjelmiston olevan paikalla.

Jos tuo tapahtuma pyytää yhä tiedostoja, joita ei ole saatavilla, säilytä tarkka puuttuva riippuvuus tai pakettivaraston virhe ja luo seuraava pyyntö siitä. Älä korvaa toisen julkaisun DEB-paketilla äläkä poista tarkistussumman tai pakettivaraston todennuksen tarkistuksia käytöstä päästääksesi sen läpi. Käsikirja varoittaa nimenomaisesti ohittamasta ladattujen tiedostojen tarkistamista, ja syystä: tarkistamaton paketti on huonompi lopputulos kuin epäonnistunut asennus.

Paketit ovat vain ensimmäinen puolisko

Ohjelmiston asentaminen on erillään hyväksytyn päätepisteen, profiilin, luottamusmateriaalin ja kirjautumistietojen hankkimisesta, ja jokaisella niistä voi olla oma valvottu luovutuksensa. Toimiva pakettijoukko ilman kelvollista profiilia ei yhdistä mihinkään.

Pidä sitten offline-siirtopolku elossa tulevia päivityksiä varten. Ensimmäisen onnistuneen yhteyden pitäminen ylläpidon loppuna tarkoittaa, että seuraava tietoturvapäivitys odottaa, kunnes joku auton kanssa voi käydä, ja näin offline-verkko jää hiljaa vuosia jälkeen.