Ažuriranje VPN pristupnika ne uspijeva: pročitajte fazu prije nego otvorite izlaz

Odbijanje instaliranja sigurnosnih ažuriranja samo je jedan loš tjedan udaljeno od toga da postanete tuđi problem, a pristupnik koji pušta klijente najlakše je mjesto za razvijanje te navike. Uobičajeni uzrok nije ruta koja nedostaje, nego odluka koja nedostaje: nitko nije rekao kako sam host treba doći do repozitorija kada je prosljeđivanje klijenata namjerno usko. Ta odluka mora se donijeti izričito i mora biti uža od isključivanja izlazne politike na jedno poslijepodne.

Četiri faze, četiri različita vlasnika

Neuspjeh ažuriranja je imenovana faza, bez obzira na to govori li to poruka ili ne, a svaka faza pripada drugom vlasniku. Ime koje se ne može razriješiti pitanje je za razrješivač. Veza koja istekne pitanje je za prijenos, proxy ili udaljeni kraj. Pogreška identiteta TLS pitanje je povjerenja, a odbijeni metapodaci arhive pitanje su potpisa. Četiri faze, četiri vlasnika, a pravilo porta uvijek odgovara samo na jedno od njih.

Ping i razrješavanje imena dva su testa kojima se ljudi prvo služe, i oba odgovaraju na pitanja koja nitko nije postavio. Odgovor eha koristi drugi protokol od veze prema repozitoriju, a uspješno pretraživanje zaustavlja se na razrješavanju imena bez testiranja dohvaćanja. Oba mogu proći dok stvarna transakcija ne uspijeva, i oba mogu ne uspjeti iz razloga koji nemaju veze s putem.

Pročitajte put kojim upravitelj doista ide

Pregledajte konfigurirane izvorne URI-je i stvarni raspored proxyja umjesto da pretpostavite bilo što od toga. Pravilo napisano za obični HTTP nije popravak kada repozitorij govori HTTPS, a organizacija koja zahtijeva proxy već je odabrala put. Upravitelji paketa poštuju varijable okoline i vlastitu konfiguraciju, a postavke specifične za host mogu nadjačati globalnu. Ono što radi interaktivni preglednik ne mora biti ono što radi upravitelj.

apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxy

Dokumentacija prijenosa APT-a opisuje koje postavke vrijede za koju URI shemu i kako se zapisuju izbori specifični za host. Sačuvajte izlaz naredbi uz tiket jer brže odvaja problem proxyja od rute koja nedostaje nego bilo koji broj ping rezultata. Zapišite točan odredište, port i protokol koje upravitelj pokušava i pustite da promjena vatrozida počiva na tom zapisu umjesto na pretpostavljenoj zrcalnoj adresi koja zastari u roku od nekoliko mjeseci.

Odaberite politiku održavanja, a ne iznimku

Tri su politike obranjive: održavati kroz tunel, održavati kroz upravljani proxy za ažuriranja ili održavati kroz usko ovlaštenu izravnu rutu. Svaka podrazumijeva odgovarajući raspored razrješivača. Ono što nije obranjivo jest iznimka koja tiho postaje neograničeni rezervni put svaki put kad tunel padne.

Zapišite odabranu politiku s vlasnikom jer će sljedeći operater naći pravilo, a ne obrazloženje iza njega. Primijenite dopuštenje kroz postojeći vatrozid i vlasnika mreže umjesto pražnjenja pravila ili dodavanja drugog upravitelja politika za jedan host. Pokrijte obitelji adresa i uslužne krajnje točke koje stvarni izvor koristi i pregledajte popis kada se repozitorij preseli.

Provjeravajte bez slabljenja povjerenja

Uspješan prijenos nije dopuštenje za popuštanje provjere: autentifikacija arhive i identitet TLS poslužitelja dvije su različite provjere, a isključivanje bilo koje od njih čini da pogreška nestane dok mijenja ono što će host prihvatiti. Presrećući proxy odluka je o povjerenju vlasnika mreže, a ne razlog za isključivanje provjere lokalno, a vjerodajnice repozitorija ne pripadaju zajedničkoj dijagnostici jer je detaljan zapis najlakše mjesto za njihovo curenje.

Prihvatite promjenu uz kontrolirano dohvaćanje metapodataka i zatim jednu odobrenu transakciju paketa, a zatim testirajte što se događa kada tunel padne. Put održavanja koji se tijekom prekida tiho širi gori je od onoga koji ne uspijeva zatvoren, a rezultat bi trebao biti put ažuriranja s imenovanim vlasnikom i ograničenim opsegom.