As webs cargan coa VPN, pero apt non chega ao repositorio

A VPN conéctase, o wiki interno carga no navegador e apt update segue pendurado nun espello ao que non pode chegar. Nesa imaxe non hai nada roto no túnel. O navegador e o xestor de paquetes tomaron dúas decisións de proxy separadas, e só unha delas estaba configurada.

Cal desas decisións fallou é o único que paga a pena establecer primeiro.

Lea o erro antes de tocar un axuste

Cada etapa deixa unha mensaxe distinta. Un nome que nunca se resolve é DNS, unha conexión que nunca se completa é encamiñamento ou unha devasa, un 407 inmediato é autenticación do proxy, unha queixa sobre o certificado é verificación TLS e un aviso de sinatura son os metadatos do repositorio. Eses cinco fallos necesitan cinco correccións diferentes, e unha liña de proxy pegada enriba dun problema de DNS só despraza o bloqueo.

Copie a liña exacta e o repositorio que nomea antes de cambiar nada. Un recordo vago de «deu tempo de espera» é o que converte un diagnóstico de dez minutos nunha tarde enteira.

APT garda os seus propios axustes de proxy

APT le /etc/apt/apt.conf.d/, o apt.conf principal e calquera ficheiro indicado por APT_CONFIG. Non le un perfil de proxy do escritorio, un axuste de rede de GNOME nin unha extensión do navegador. O transporte si respecta as variables de contorno de proxy, e por iso un export https_proxy=... que funciona no seu shell non demostra nada sobre un temporizador que se executa noutro contorno.

Volque o que o proceso que falla ve realmente: apt-config dump | grep -i proxy.

Execute iso como o usuario co que corre a operación que falla. Se root le un conxunto de ficheiros distinto, ou un temporizador de systemd arrinca con outro contorno, o volcado será diferente, e esa diferenza é a súa resposta. Dous valores de proxy que non coinciden son peores que un valor ausente, porque o transporte segue a coincidencia máis específica que atopa.

Defina o proxy onde o dono da configuración o espera

Para un proxy explícito aprobado polo administrador, abonda un fragmento pequeno nun ficheiro novo:

Acquire::http::Proxy "http://proxy.corp.example:3128/";
Acquire::https::Proxy "http://proxy.corp.example:3128/";
Acquire::http::Proxy::archive.example.internal "DIRECT";

A terceira liña é a parte que a maioría dos exemplos omiten. Unha clave por host anula o valor xenérico, así que un espello interno accesible pola VPN pode saltar o proxy mentres todo o demais segue pasando por el. DIRECT é o valor documentado para iso, non unha cadea baleira.

Engada o fragmento como un ficheiro novo numerado, por exemplo /etc/apt/apt.conf.d/95proxy. Sobrescribir un ficheiro da distribución significa que a próxima actualización de paquetes reverte o seu cambio en silencio.

As credenciais quedan fóra do URI

A referencia do transporte APT apunta a apt_auth.conf para a autenticación, e é aí onde van o nome de usuario e o contrasinal. Incrustalos no URI do proxy ponos nas listas de procesos, no historial do shell e en cada volcado de configuración pegado nun tícket. O ficheiro de autenticación necesita permisos restritivos, porque é un almacén de credenciais.

Comprobe tamén o esquema. Un repositorio HTTPS aínda se pode acadar a través dun proxy HTTP; o transporte é unha escolla distinta da do esquema do URI do espello.

Un centro de software gráfico é unha interface aparte. Se usa PackageKit ou un backend snap, o fragmento de APT non lle cambia nada, así que confirme que proceso fixo a petición fallida.

Confirme a ruta, non só o código de saída

Co fragmento no seu sitio, observe a petición en vez de fiarse dun resultado verde. apt-get -o Debug::Acquire::http=true update imprime o intento de conexión, o proxy escollido e o código de resposta, o que separa un proxy errado dun proxy que o rexeitou.

Despois probe o caso que non debería funcionar. Desconecte a VPN e confirme que o espello interno deixa de responder; se aínda descarga, algo está encamiñando por fóra do túnel ou unha caché vella está a servirllo. Confirme que a ruta permitida aínda valida TLS e aínda comproba as sinaturas do repositorio, porque un proxy que inspecciona o tráfico non é motivo para desactivar ningunha das dúas. Confirme tamén que un cliente non autenticado recibe unha denegación clara en vez dun tempo de espera silencioso.

Manteña xuntos o fragmento que funciona e a saída que falla no rexistro de cambios. A próxima persoa que tropece co mesmo bloqueo recoñecerá a diferenza de dúas liñas máis rápido que con calquera explicación.