Jo VPN-gateway hat noch altyd in manier nedich om bywurkings te ynstallearjen

De tunnel wurket foar elkenien efter him, de gateway stjoert har ferkear troch, en dochs kin de masine sels gjin befeiligingsfernijing ynstallearje. Dit is de gewoane foarm fan it probleem: de trochstjoerpermissje waard oan kliïnten jûn, en de eigen útgeande ferbiningen fan de gateway waarden nea yn it plan opnommen. De pakketbehearder iepenet syn eigen sockets, fan de gateway, nei in repository dy't jo wierskynlik nearne yn it firewallbelied neamd hawwe.

In gateway tichtsette is goed. It sa grûnich tichtsette dat er ophâldt mei it ûntfangen fan patches is in oare beslissing, en meastentiids in tafallige.

Lokale útfier is gjin kliïnt-trochstjoering

Trochstjoerregels jouwe foar pakketten dy't fan earne oars komme en troch de gateway fuortgeane. It eigen bywurkingsferkear fan de gateway past der nea by; it wurdt lokaal oanmakke en giet oer it útfierpaad. Dat ûnderskie ferklearret in steuring dy't ûnmooglik liket wylst de tagong fan kliïnten perfekt wurket.

It ferklearret ek in gat yn it belied dat tests oerlibbet, om't in flugge kontrôle fan in laptop efter de tunnel bewiist dat de trochstjoerkeatling wurket en neat oer de eigen ferbiningen fan de host seit. Behannelje de gateway as twa subjekten: in router mei in trochstjoerkeatling en in host mei in útfierkeatling. Beide hawwe in miening nedich, en meastentiids wurdt mar ien dêrfan opskreaun.

Neam de faze dy't mislearre

Bywurkingsflaters neame ferskate grinzen, en nei in poortregel gripe foardat jo lêze hokker mislearre hat, kostet in middei. In repositorynamme dy't net oplost is in resolver-fraach, gjin ferfiersfraach.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

In time-out nei in slagge op sykjen ferpleatst de fraach nei it ferfier: hokker adres, hokker poarte en hokker konfigurearre proxy't de pakketbehearder eins besocht hat. In TLS-ferifikaasjeflater is in tredde, hiel oar ding, en it betsjut dat de ferbining goed genôch wurke om te ûnderhanneljen. In klacht oer argyfferifikaasje is de fjirde faze, en it giet oer ûndertekene metadata ynstee fan berikberens. Fjouwer fazen, fjouwer ferskate reparaasjes, en in ping beskriuwt altyd mar ien protokol dat gjin pakketbehearder brûkt.

Lês de boarnelist foardat jo in regel tafoegje

List de eigentlike boarne-URI's en de effektive proxykonfiguraasje op, net dy't jo ûnthâlde. In regel skreaun foar gewoane HTTP is nutteloas as de boarne HTTPS is, en in proxy dy't de shell ken, kin ûnsichtber wêze foar in tsjinst dy't by it opstarten mei in oare omjouwing start wurdt.

De dokumintaasje oer HTTP-ferfier yn APT beslacht omjouwings- en APT-spesifike proxyynstellings, ynklusyf karren per host, en syn HTTPS-ferfier hat syn eigen ferifikaasje-ynstellings. It paad dat in browser nimt en it paad dat de pakketbehearder nimt binne aparte paden, sels op deselde masine.

Merk op nei hokker famyljes de boarnen oplosse. In regel dy't allinnich IPv4 tastiet, sil trochgean mislearje op in host waans boarnen in AAAA-record foarkomme, en de flater liket ûnregelmjittich om't it ôfhinget fan hokker antwurd it earst oankomt.

Kies ien ûnderhâldpaad en hâld dêrby

Der binne trije ferdigenbere opsjes: ûnderhâldferkear troch de tunnel, troch in beheardere bywurkingsproxy of troch in smelle direkte útsondering. Kies ien mei opsetsin en soargje dat de resolver it dermei iens is, om't in splitsing dêr't nammen ien kant op oplosse en ferbiningen in oare kant op geane, flaters opsmyt dy't nimmen ferklearje kin.

Wat jo ek kieze, it mei gjin ûnbeheinde weromfallopsje wurde. At direkte útgeande ferkear ferbean is as de tunnel del leit, is in ûnderhâldútsondering dy't stilwei alles tastiet, in beliedswiziging ferklaaid as in oplossing. Hâld it eigen einpunt fan de tunnel en de bootstrap-behoeften yn in aparte kategory fan repositorytagong, om't se nei ferskate bestimmings wiize en op ferskate manieren mislearje, sadat ien útsondering de oare net dekke kin.

Ferifiearje sûnder de kontrôles te ferswakjen

Pas it berik ta fia de firewall dy't it belied al hat, ynstee fan in twadde behearder ta te foegjen om't ien gids him brûkte. Rin dêrnei in metadataferfarsking en ien echte pakkettransaksje ûnder it ûnderholden belied, en lês de útfier ynstee fan allinnich de útgongstatus.

Súksesfol ferfier is gjin tastimming om de ferifikaasje te fersêftsjen. Argyfferifikaasje en de identiteit fan de TLS-tsjinner binne aparte garânsjes, en ien fan beide útsette om in flater stil te meitsjen feroaret wat jo fertrouwe, net wat jo berikke kinne.

Einigje mei it gefal sûnder tunnel mei opsetsin te testen. Witte hoe't de gateway him sûnder syn tunnel hâldt en draacht is part fan it ûntwerp, it ûntdekke by in steuring net. Set de tunnel del, rin de metadataferfarsking en befêstigje dat de host op de bedoelde manier mislearret ynstee fan stilwei werom te fallen op in iepen paad. Hâld oanmeldgegevens fan repository's en proxy bûten dielde diagnostyk en lit in notysje efter dy't neamt wa't it bywurkingspaad hat.