VPN դարպասի թարմացումը ձախողվում է. կարդացեք փուլը նախքան ելքը բացելը
Ձախողված թարմացումը նշում է փուլ, ոչ թե բացակայող պորտ։ Կապեք հաղորդագրությունը դրա սեփականատիրոջ հետ, կարդացեք վստահված սերվերի ուղին և ապա գիտակցաբար որոշեք սպասարկման քաղաքականությունը։
Անվտանգության թարմացումները տեղադրելուց հրաժարվելը ընդամենը մեկ վատ շաբաթ է հեռու ուրիշի խնդիրը դառնալուց, և դարպասը, որը թույլ է տալիս հաճախորդներին, ամենահեշտ տեղն է այդ սովորությունը զարգացնելու համար։ Սովորական պատճառը ոչ թե բացակայող երթուղին է, այլ բացակայող որոշումը. ոչ ոք չասաց, թե ինչպես ինքը՝ հոսթը, պետք է հասնի պահոցին, երբ հաճախորդների փոխանցումը միտումնավոր նեղ է։ Այդ որոշումը պետք է կայացվի բացահայտ, և այն պետք է ավելի նեղ լինի, քան ելքի քաղաքականությունը կես օրով անջատելը։
Չորս փուլ, չորս տարբեր սեփականատեր
Թարմացման ձախողումը անվանված փուլ է՝ անկախ նրանից՝ հաղորդագրությունը դա ասում է, թե ոչ, և յուրաքանչյուր փուլ պատկանում է տարբեր սեփականատիրոջ։ Չլուծվող անունը հարց է լուծիչին։ Ժամկետանց կապը հարց է տրանսպորտին, վստահված սերվերին կամ հեռավոր ծայրին։ TLS ինքնության սխալը վստահության հարց է, և մերժված արխիվի մետատվյալները ստորագրության հարց են։ Չորս փուլ, չորս սեփականատեր, և պորտի կանոնը միշտ պատասխանում է միայն դրանցից մեկին։
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Պինգը և անունների լուծումը երկու թեստերն են, որոնց մարդիկ առաջինը դիմում են, և երկուսն էլ պատասխանում են հարցերի, որ ոչ ոք չի տվել։ Echo-ի պատասխանը օգտագործում է այլ արձանագրություն, քան պահոցի կապը, և հաջող որոնումը կանգ է առնում անունների լուծման վրա՝ չստուգելով ներբեռնումը։ Երկուսն էլ կարող են անցնել, մինչ իրական գործարքը ձախողվում է, և երկուսն էլ կարող են ձախողվել ուղու հետ կապ չունեցող պատճառներով։
Կարդացեք այն ուղին, որով կառավարիչը իրականում գնում է
Ստուգեք կարգավորված աղբյուր URI-ները և վստահված սերվերի փաստացի կարգավորումը՝ փոխարենը չենթադրելով դրանցից մեկը։ Պարզ HTTP-ի համար գրված կանոնը վերանորոգում չէ, երբ պահոցը խոսում է HTTPS-ով, և վստահված սերվեր պահանջող կազմակերպությունն արդեն ընտրել է ուղին։ Փաթեթների կառավարիչները հարգում են միջավայրի փոփոխականները և իրենց սեփական կոնֆիգուրացիան, և հոսթին հատուկ կարգավորումները կարող են վերացնել գլոբալը։ Այն, ինչ անում է ինտերակտիվ զննարկիչը, պարտադիր չէ, որ լինի այն, ինչ անում է կառավարիչը։
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT տրանսպորտի փաստաթղթերը նկարագրում են, թե որ կարգավորումներն են գործում որ URI սխեմայի համար, և ինչպես են գրվում հոսթին հատուկ ընտրությունները։ Պահեք հրամանների ելքը տոմսի հետ, որովհետև այն ավելի արագ է առանձնացնում վստահված սերվերի խնդիրը բացակայող երթուղուց, քան ցանկացած քանակի պինգի արդյունքներ։ Գրեք ճշգրիտ նպատակակետը, պորտը և արձանագրությունը, որոնք փորձում է կառավարիչը, և թող հրադադարի փոփոխությունը հենվի այդ գրառման վրա, այլ ոչ թե գուշակված հայելային հասցեի, որը հնանում է ամիսների ընթացքում։
Ընտրեք սպասարկման քաղաքականություն, ոչ թե բացառություն
Երեք քաղաքականություն պաշտպանելի են. սպասարկում թունելով, սպասարկում կառավարվող թարմացումների վստահված սերվերով կամ սպասարկում նեղ լիազորված ուղիղ երթուղով։ Յուրաքանչյուրը ենթադրում է իրեն համապատասխան լուծիչի կարգավորում։ Այն, ինչ պաշտպանելի չէ, բացառությունն է, որը լուռ դառնում է անսահմանափակ պահեստային ուղի ամեն անգամ, երբ թունելը ընկնում է։
Գրեք ընտրված քաղաքականությունը սեփականատիրոջ հետ, որովհետև հաջորդ օպերատորը կգտնի կանոնը, ոչ թե դրա հետևում եղած հիմնավորումը։ Կիրառեք թույլտվությունը գործող հրադադարի և ցանցի սեփականատիրոջ միջոցով՝ փոխարենը չմաքրելով կանոնները կամ մեկ հոսթի համար երկրորդ քաղաքականության կառավարիչ ավելացնելով։ Ծածկեք իրական աղբյուրի օգտագործած հասցեների ընտանիքները և ծառայության վերջնակետերը, և վերանայեք ցանկը, երբ պահոցը տեղափոխվի։
Ստուգեք առանց վստահությունը թուլացնելու
Հաջող տրանսպորտը թույլտվություն չէ մեղմելու ստուգումը. արխիվի նույնականացումը և TLS սերվերի ինքնությունը երկու տարբեր ստուգումներ են, և դրանցից որևէ մեկի անջատումը վերացնում է սխալը՝ փոխելով այն, ինչ հոսթը կընդունի։ Ընդհատող վստահված սերվերը ցանցի սեփականատիրոջ վստահության որոշումն է, ոչ թե ստուգումը տեղում անջատելու պատճառ, և պահոցի հավատարմագրերը տեղ չունեն ընդհանուր ախտորոշման մեջ, որովհետև մանրամասն մատյանը ամենահեշտ տեղն է դրանք արտահոսելու համար։
Ընդունեք փոփոխությունը վերահսկվող մետատվյալների ստացմամբ, ապա մեկ հաստատված փաթեթի գործարքով, և ապա փորձեք, թե ինչ է լինում, երբ թունելը ընկնում է։ Սպասարկման ուղին, որը խափանման ընթացքում լուռ լայնանում է, վատ է այն ուղուց, որը ձախողվում է փակված, և արդյունքը պետք է լինի թարմացման ուղի՝ անվանված սեփականատիրոջ և սահմանափակ ծավալի հետ։