VPN-yhdyskäytävän päivitys epäonnistuu: lue vaihe ennen kuin avaat ulospääsyn
Epäonnistunut päivitys nimeää vaiheen, ei puuttuvaa porttia. Yhdistä viesti sen omistajaan, lue välityspalvelimen polku ja päätä sitten ylläpitokäytännöstä tarkoituksella.
Turvapäivitysten asentamisesta kieltäytyminen on vain yhden huonon viikon päässä siitä, että sinusta tulee jonkun muun ongelma, ja yhdyskäytävä, joka päästää asiakkaat sisään, on helpoin paikka kehittää sitä tapaa. Tavallinen syy ei ole puuttuva reitti vaan puuttuva päätös: kukaan ei sanonut, miten isäntäkoneen itsensä pitäisi päästä tietovarastoon, kun asiakkaiden edelleenlähetys on tarkoituksella kapea. Se päätös on tehtävä nimenomaisesti, ja sen on oltava kapeampi kuin lähtevän liikenteen käytännön sammuttaminen iltapäiväksi.
Neljä vaihetta, neljä eri omistajaa
Päivitysvirhe on nimetty vaihe, sanooko viesti sitä vai ei, ja jokainen vaihe kuuluu eri omistajalle. Nimi, jota ei saa selvitettyä, on selvittäjän kysymys. Yhteys, joka aikakatkaistaan, on kuljetuksen, välityspalvelimen tai kauko-osapuolen kysymys. TLS-identiteettivirhe on luottamuskysymys, ja hylätyt arkiston metatiedot ovat allekirjoituskysymys. Neljä vaihetta, neljä omistajaa, ja porttisääntö vastaa aina vain yhteen niistä.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping ja nimien selvitys ovat kaksi testiä, joihin ihmiset tarttuvat ensin, ja molemmat vastaavat kysymyksiin, joita kukaan ei esittänyt. Kaiun vastaus käyttää eri protokollaa kuin tietovarastoyhteys, ja onnistunut haku pysähtyy nimien selvitykseen testaamatta noutoa. Molemmat voivat mennä läpi, kun varsinainen tapahtuma epäonnistuu, ja molemmat voivat epäonnistua syistä, joilla ei ole mitään tekemistä polun kanssa.
Lue polku, jonka hallinta todella kulkee
Tarkasta määritetyt lähde-URI:t ja todellinen välityspalvelujärjestely sen sijaan, että olettaisit jompaakumpaa. Tavalliselle HTTP:lle kirjoitettu sääntö ei ole korjaus, kun tietovarasto puhuu HTTPS:ää, ja välityspalvelinta edellyttävä organisaatio on jo valinnut polun. Paketinhallinta noudattaa ympäristömuuttujia ja omaa kokoonpanoaan, ja isäntäkohtaiset asetukset voivat ohittaa globaalin. Se, mitä interaktiivinen selain tekee, ei välttämättä ole se, mitä hallinta tekee.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT:n kuljetusdokumentaatio kuvaa, mitkä asetukset koskevat mitäkin URI-skeemaa ja miten isäntäkohtaiset valinnat kirjoitetaan. Säilytä komentojen tuloste tiketin yhteydessä, koska se erottaa välityspalvelinongelman puuttuvasta reitistä nopeammin kuin mikään määrä ping-tuloksia. Kirjaa tarkka kohde, portti ja protokolla, jota hallinta yrittää, ja anna palomuurimuutoksen nojata siihen tietueeseen eikä arvattuun peiliosoitteeseen, joka vanhenee kuukausien kuluessa.
Valitse ylläpitokäytäntö, älä poikkeus
Kolme käytäntöä on puolustettavissa: ylläpidä tunnelin kautta, ylläpidä hallitun päivitysvälityspalvelimen kautta tai ylläpidä kapeasti valtuutetun suoran reitin kautta. Jokainen edellyttää siihen sopivaa selvittäjäjärjestelyä. Se, mikä ei ole puolustettavissa, on poikkeus, joka hiljaa muuttuu rajoittamattomaksi varareitiksi aina, kun tunneli kaatuu.
Kirjoita valittu käytäntö omistajan kanssa, koska seuraava ylläpitäjä löytää säännön eikä sen taustalla olevaa perustelua. Toteuta lupa olemassa olevan palomuurin ja verkon omistajan kautta sen sijaan, että tyhjentäisit sääntöjä tai lisäisit toisen käytäntöhallinnan yhdelle isännälle. Kata todellisen lähteen käyttämät osoiteperheet ja palvelupäätepisteet, ja tarkista luettelo, kun tietovarasto muuttaa.
Varmenna heikentämättä luottamusta
Onnistunut kuljetus ei ole lupa löysentää varmennusta: arkiston todentaminen ja TLS-palvelimen identiteetti ovat kaksi erillistä tarkistusta, ja jommankumman poistaminen käytöstä saa virheen katoamaan samalla kun se muuttaa sitä, mitä isäntä hyväksyy. Välittävä välityspalvelin on verkon omistajan luottamuspäätös, ei syy kytkeä tarkistusta pois päältä paikallisesti, ja tietovaraston tunnistetiedot eivät kuulu jaettuun diagnostiikkaan, koska yksityiskohtainen loki on helpoin paikka vuotaa ne.
Hyväksy muutos hallitulla metatietojen noudolla ja sitä seuraavalla hyväksytyllä pakettitapahtumalla, ja testaa sitten, mitä tapahtuu, kun tunneli kaatuu. Ylläpitopolku, joka hiljaa levenee katkoksen aikana, on huonompi kuin sellainen, joka epäonnistuu sulkeutuen, ja tuloksena pitäisi olla päivityspolku, jolla on nimetty omistaja ja rajattu laajuus.