Paquetes VPN sen conexión: pregunte ao destino que necesita

Precisa o cliente VPN para chegar á rede que normalmente lle fornecería os seus paquetes, o que é un círculo pequeno e coidado. Descargar un único DEB de OpenVPN noutra máquina adoita acabar cunha segunda dependencia faltante, logo unha terceira e logo unha tarde a perseguir versións de bibliotecas. A alternativa é deixar que a máquina desconectada declare, nos seus propios termos, que necesita o seu xestor de paquetes. Todo o que segue derívase desa inversión de quen pregunta.

Nos sistemas da familia Debian esa conversa ocorre mediante apt-offline, un fluxo de solicitude e retorno. O seu propio contorno de execución debe estar presente primeiro no destino, instalado desde medios aprobados ou outro proceso de arranque xestionado polo administrador, porque ningunha ferramenta pode arrancarse a si mesma da nada.

Comece polo estado dos paquetes do destino, non polo do axudante

Anote a versión da distribución do destino, a arquitectura de espazo de usuario e as fontes de paquetes configuradas antes que calquera outra cousa. Eses tres feitos deciden que implementación de VPN e que integración de escritorio son axeitadas, e son os feitos que un axudante conectado non pode fornecer.

O axudante descarga ficheiros; non se converte na liña base de dependencias. Un portátil máis novo que xa ten OpenVPN instalado ten un estado de paquetes completamente distinto do destino, así que o seu éxito non demostra nada sobre o que o destino pode aceptar.

Decida tamén que quere en realidade. O motor VPN, un complemento de servizo de NetworkManager e un editor gráfico son paquetes separados, e a selección correcta depende da versión e de como xestionará o usuario a conexión. Un servidor sen pantalla necesita o motor e un ficheiro de configuración; un escritorio necesita o complemento que permite que a súa configuración de rede sexa dona do túnel. Solicitar o conxunto equivocado produce unha instalación que ten éxito e unha conexión que ninguén pode iniciar.

Dous percorridos, nesta orde

O manual separa tres operacións: xerar unha solicitude no sistema desconectado, descargala nun axudante conectado e importala de volta ao destino. Actualice os metadatos do repositorio do destino antes de solicitar paquetes, porque a solicitude de paquetes constrúese a partir deses metadatos e os índices obsoletos producen solicitudes que o axudante non pode satisfacer.

No destino, unha orde de administrador coa forma apt-offline set vpn-meta.sig --update escribe a solicitude de actualización. Leve ese ficheiro á máquina conectada e descargue un paquete con apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Devolva o paquete e impórteo no destino con apt-offline install vpn-meta.zip, de novo como administrador.

Agora xere a solicitude de paquetes a partir dos metadatos actualizados, por exemplo apt-offline set vpn-deps.sig --install-packages openvpn, e repita a viaxe cun nome de paquete novo. Manteña cada solicitude emparellada co paquete que produciu; un paquete xerado con metadatos máis antigos non é a mesma solicitude, mesmo cando os nomes de ficheiro parecen intercambiables.

Engada os paquetes de integración só cando o deseño os necesite

Se o escritorio debe xestionar o túnel mediante a súa configuración de rede, a solicitude necesita o complemento correspondente ademais do motor. Inclúa os nomes de paquete concretos que ofrece a súa versión en lugar dunha lista recordada doutra distribución, e xere unha solicitude nova cada vez que cambie a lista. Fixar versións tamén merece unha reflexión: un paquete creado para unha versión máis recente pode satisfacer o nome e aínda así fallar en tempo de execución. Aquí é onde un conxunto fixo de catro paquetes se converte nunha carga, porque a lista correcta é unha propiedade do destino e só o destino pode calculala.

Aquí é tamén onde un conxunto fixo de catro paquetes se converte nunha carga. A lista correcta é unha propiedade do destino, e o destino é a única máquina que pode calculala correctamente.

Importar un paquete non é instalar a VPN

A pesar do nome, a operación de instalación deposita datos APT no contorno de xestión de paquetes. Non realiza a transacción de paquetes. Complete e revise a instalación APT real do destino a partir dos datos fornecidos localmente, e lea a saída en lugar de supoñer que o éxito do ZIP significa que o software está presente.

Se esa transacción segue pedindo ficheiros non dispoñibles, conserve a dependencia faltante ou o erro de repositorio concreto e xere a seguinte solicitude a partir del. Non substitúa un DEB doutra versión nin desactive as comprobacións de suma de verificación ou de autenticación do repositorio para forzalo. O manual advirte explicitamente contra saltarse a verificación dos ficheiros descargados, e con razón: un paquete non verificado é un resultado peor que unha instalación fallida.

Os paquetes son só a primeira metade

Instalar software é distinto de obter o punto final aprobado, o perfil, o material de confianza e as credenciais, e cada un deles pode ter a súa propia entrega controlada. Un conxunto de paquetes que funciona sen un perfil válido non se conecta a nada.

Despois manteña vivo o camiño de transferencia sen conexión para futuras actualizacións. Tratar a primeira conexión correcta como o final do mantemento significa que a seguinte actualización de seguridade espera a que alguén cun coche poida visitar, e así é como unha rede sen conexión queda silenciosamente anos atrás.