Maintien APT ou voie de mise à niveau : revenir sur un client VPN

Les mises à jour du client cassent les tunnels, les anciennes versions continuent de fonctionner, et cela laisse deux remèdes évidents. L’un maintient le paquet là où il est et attend un correctif ; l’autre avance immédiatement vers un agencement pris en charge. Ils ne sont pas également sûrs, et aucun n’est une stratégie de maintenance sans sortie. Comparez-les sur ce qu’ils figent réellement avant de choisir.

Deux remèdes pour une seule régression

Maintenir un paquet garde la version qui fonctionne installée et empêche APT de la déplacer. Cela gagne du temps, garde les utilisateurs connectés et laisse le bogue sous-jacent intact. Avancer signifie trouver la version prise en charge qui corrige la régression, ou changer le propriétaire de la connexion pour quelque chose que la distribution maintient encore. Cela coûte plus de travail au départ et supprime le risque permanent.

Le choix dépend de trois faits que vous devriez avoir avant de décider : quel composant a régressé, s’il existe une version corrigée et combien de temps l’état temporaire peut être toléré.

Épinglez la défaillance avant de choisir l’un ou l’autre

Une mise à jour du cœur de NetworkManager, une mise à jour du greffon VPN et une régression de l’assistant de résolution sont identiques du point de vue de l’utilisateur et ont des candidats de retour différents. Relevez les paquets exacts, les versions et la première nouvelle erreur.

apt-cache policy network-manager network-manager-openvpn
dpkg -l | grep -E 'network-manager|openvpn|wireguard'

Les métadonnées du paquet peuvent être périmées si les listes n’ont pas été rafraîchies ; lisez-les donc comme un indice et confirmez-les avec la version réellement installée. Ne prenez pas une version cible dans un message de forum ; la même chaîne de version issue d’une autre publication peut porter un ensemble de dépendances différent.

Comparez ce que couvre un maintien

Un maintien empêche un paquet d’être installé, mis à niveau ou supprimé automatiquement. Mais il ne fige pas ses dépendances, ne répare pas une connexion et ne rend pas sécurisé un ancien binaire. Cet écart, c’est toute la comparaison. Si la régression vient d’une bibliothèque à laquelle le client est lié, maintenir le client ne change rien pendant que la bibliothèque continue de bouger.

sudo apt-get -s install network-manager=1.42.4-1
apt-mark showhold

Simulez d’abord la rétrogradation et lisez les changements proposés en entier. Une rétrogradation qui supprime une dépendance dont le bureau a besoin est un autre incident, et la simulation est l’endroit le moins coûteux pour le découvrir. Si un maintien est vraiment la bonne limite temporaire, écrivez-le comme une décision avec un propriétaire, une raison et une condition de retrait. Un maintien sans propriétaire devient une infrastructure permanente que personne n’ose toucher.

Comparez les sorties

La voie avant est un correctif de la distribution ou du fournisseur, appliqué après vérification sur une connexion indépendante. Cela garde le système dans son flux de mises à jour pris en charge et ferme l’exposition. La voie de migration remplace le client ou l’hôte par quelque chose que la distribution maintient encore. C’est plus de travail et souvent la seule réponse honnête lorsque le composant régressé n’a pas de version corrigée dans cette branche.

sudo apt-mark unhold network-manager
sudo apt update
sudo apt full-upgrade

Quelle que soit la sortie choisie, vérifiez le profil exact, le chemin d’authentification, les routes, le comportement DNS et la reconnexion avant de déclarer terminé. Un tunnel qui monte une fois n’est pas la même chose qu’un tunnel qui survit à une mise en veille, à un changement de réseau et à un redémarrage. Conservez les preuves de la défaillance pour le rapport de bogue : versions des paquets, extraits du journal, structure du profil sans secrets. Ne joignez jamais de clés privées ni d’identifiants pour rendre un rapport plus complet.

Ce que le registre doit contenir

Écrivez la décision en quatre lignes : ce qui a régressé, ce qui a été maintenu ou modifié, qui possède l’état temporaire et ce qui le retire. Ajoutez la vérification effectuée, car l’ingénieur suivant la refera.

Un maintien avec une date de sortie est une frontière de retour gérée. Un maintien sans date est une rétrogradation inexpliquée devenue discrètement une partie de l’infrastructure.