A webhelyek betöltődnek a VPN-en, de az apt nem éri el a tárolót

A VPN csatlakozik, a belső wiki betöltődik a böngészőben, és a apt update továbbra is lóg egy tükrön, amelyet nem ér el. Azon a képen semmi nem romlott el az alagútban. A böngésző és a csomagkezelő két külön proxy-döntést hozott, és csak az egyik volt beállítva.

Melyik döntés hibázott, az az egyetlen, amit érdemes először tisztázni.

Olvassa el a hibát, mielőtt beállításhoz nyúl

Minden szakasz más üzenetet hagy. Egy név, amely soha nem oldódik fel, DNS; egy kapcsolat, amely soha nem jön létre, útválasztás vagy tűzfal; egy azonnali 407 proxy-hitelesítés; egy tanúsítványra vonatkozó panasz TLS-ellenőrzés; egy aláírás-figyelmeztetés pedig a tároló metaadatai. Ez az öt hiba öt különböző javítást igényel, és a DNS-problémára ragasztott proxy-sor csak áthelyezi a beragadást.

Másolja ki a pontos sort és a benne megnevezett tárolót, mielőtt bármit módosít. Egy homályos emlék arról, hogy „időtúllépés volt”, az, ami egy tízperces diagnózisból egész délutánt csinál.

Az APT saját proxybeállításokat tart

Az APT a /etc/apt/apt.conf.d/, a fő apt.conf és a APT_CONFIG által megnevezett fájlokat olvassa. Nem olvassa az asztali proxyprofilt, a GNOME hálózati beállítását vagy a böngészőbővítményt. A szállítás viszont figyelembe veszi a proxy környezeti változóit, ezért egy működő export https_proxy=... a héjban semmit nem bizonyít egy másik környezetben futó időzítőről.

Írja ki, mit lát valójában a hibázó folyamat: apt-config dump | grep -i proxy.

Futtassa ezt azzal a felhasználóval, akivel a hibázó művelet fut. Ha a root más fájlhalmazt olvas, vagy egy systemd időzítő más környezettel indul, a kimenet eltér, és ez az eltérés a válasz. Két ellentmondó proxyérték rosszabb egy hiányzónál, mert a szállítás a legpontosabb egyezést követi, amelyet megtalál.

Állítsa be a proxyt ott, ahol a konfiguráció tulajdonosa várja

Egy rendszergazda által jóváhagyott explicit proxyhoz elég egy kis töredék egy új fájlban:

Acquire::http::Proxy "http://proxy.corp.example:3128/";
Acquire::https::Proxy "http://proxy.corp.example:3128/";
Acquire::http::Proxy::archive.example.internal "DIRECT";

A harmadik sor az a rész, amelyet a legtöbb példa kihagy. A hoszt szerinti kulcs felülírja az általános értéket, így egy az alagúton elérhető belső tükör kihagyhatja a proxyt, miközben minden más továbbra is rajta keresztül megy. A DIRECT az erre dokumentált érték, nem üres karakterlánc.

Adja hozzá a töredéket új, számozott fájlként, például /etc/apt/apt.conf.d/95proxy. Egy disztribúciós fájl felülírása azt jelenti, hogy a következő csomagfrissítés csendben visszaállítja a módosítását.

A hitelesítő adatok az URI-n kívül maradnak

Az APT-szállítás referenciája a hitelesítéshez a apt_auth.conf-re mutat, és oda tartozik a felhasználónév és a jelszó. Ha a proxy URI-jába ágyazza őket, bekerülnek a folyamatlistákba, a héjtörténetbe és minden jegybe beillesztett konfigurációs kimenetbe. A hitelesítési fájlnak szigorú jogosultságok kellenek, mert hitelesítő adatok tárolója.

Ellenőrizze a sémát is. Egy HTTPS-tároló továbbra is elérhető HTTP-proxyn keresztül; a szállítás külön választás a tükör URI-sémájától.

A grafikus szoftverközpont külön felület. Ha PackageKit-et vagy snap-háttérprogramot használ, az APT-töredék semmit nem változtat rajta, ezért ellenőrizze, melyik folyamat indította a sikertelen kérést.

Ellenőrizze az útvonalat, ne csak a kilépési kódot

A töredékkel a helyén figyelje a kérést ahelyett, hogy egy zöld eredményben bízna. A apt-get -o Debug::Acquire::http=true update kiírja a kapcsolódási kísérletet, a kiválasztott proxyt és a válaszkódot, ami elválasztja a rossz proxyt az olyan proxytól, amely elutasította.

Ezután tesztelje azt az esetet, amelynek nem szabadna működnie. Bontsa a VPN-t, és ellenőrizze, hogy a belső tükör abbahagyja a válaszadást; ha még tölt, valami megkerüli az alagutat, vagy egy elavult gyorsítótár szolgálja ki. Ellenőrizze, hogy az engedélyezett útvonal továbbra is ellenőrzi a TLS-t és továbbra is ellenőrzi a tároló aláírásait, mert egy forgalmat vizsgáló proxy nem ok arra, hogy bármelyiket kikapcsolja. Azt is ellenőrizze, hogy egy hitelesítés nélküli kliens egyértelmű elutasítást kap csendes időtúllépés helyett.

Tartsa együtt a működő töredéket és a hibázó kimenetet a változásnaplóban. A következő ember, aki ugyanabba a beragadásba fut, gyorsabban felismeri a két sor különbségét, mint bármilyen magyarázatból.