VPN-gáttin þín þarf enn leið til að setja upp uppfærslur

Göngin virka fyrir alla sem eru á bak við þau, gáttin sendir umferð þeirra áfram, og samt getur vélin sjálf ekki sett upp öryggisuppfærslu. Þetta er venjulegt form vandans: framsendingarheimild var veitt biðlurunum, og útleiðartengingar gáttarinnar sjálfrar voru aldrei hafðar með í áætluninni. Pakkastjórinn opnar eigin sökka, frá gáttinni, að geymslu sem þú hefur líklega ekki nefnt hvergi í eldveggsstefnunni.

Að læsa gátt er rétt. Að læsa hana svo rækilega að hún hættir að fá plástrar er önnur ákvörðun, og venjulega óviljandi.

Staðbundið úttak er ekki framsending biðlara

Framsendingarreglur gilda um pakka sem koma annars staðar frá og fara út um gáttina. Uppfærsluumferð gáttarinnar sjálfrar passar aldrei við þær; hún verður til staðbundið og fer eftir úttaksleiðinni. Sá greinarmunur skýrir bilun sem virðist ómöguleg á meðan aðgangur biðlara virkar fullkomlega.

Hann skýrir líka stefnugat sem lifir prófanir, því fljótleg athugun frá fartölvu bak við göngin sannar að framsendingarkeðjan virkar og segir ekkert um eigin tengingar hýsilsins. Líttu á gáttina sem tvo einstaklinga: beini með framsendingarkeðju og hýsil með úttakskerju. Báðir þurfa afstöðu, og venjulega er aðeins einni þeirra skrifað niður.

Nefndu það þrep sem brást

Uppfærsluvillur nefna mismunandi mörk, og að grípa til portreglu áður en maður les hver þeirra brást eyðir síðdegi. Geymslunafn sem leysist ekki er spurning um uppflettingu, ekki spurning um flutning.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Tímamörk eftir árangursríka uppflettingu færa spurninguna yfir í flutning: hvaða vistfang, hvaða port og hvaða stillta milliþjón pakkastjórinn reyndi í raun. TLS-staðfestingarvilla er allt annar hlutur, og hún þýðir að tengingin virkaði nógu vel til að semja. Kvörtun um auðkenningu geymslunnar er fjórða þrepið, og hún snýst um undirrituð lýsigögn frekar en aðdráttargetu. Fjögur þrep, fjórar mismunandi viðgerðir, og ping lýsir alltaf aðeins einni samskiptareglu sem enginn pakkastjóri notar.

Lestu heimildalistann áður en þú bætir við reglu

Skráðu raunverulegar heimildar-URI og virka milliþjónsstillingu í stað þeirra sem þú manst eftir. Regla skrifuð fyrir venjulegt HTTP er gagnslaus þegar heimildin er HTTPS, og milliþjónn sem skeljinn þekkir getur verið ósýnilegur þjónustu sem er ræst við ræsingu í öðru umhverfi.

Skjölun APT um HTTP-flutning fjallar um umhverfis- og APT-sértækar milliþjónsstillingar, þar á meðal val fyrir hvern hýsil, og HTTPS-flutningur hennar hefur eigin staðfestingarstillingar. Leið vafra og leið pakkastjórans eru aðskildar leiðir, jafnvel á sömu vél.

Athugaðu hvaða fjölskyldur heimildirnar leysast í. Regla sem leyfir aðeins IPv4 mun halda áfram að bregðast á hýsli þar sem heimildir kjósa AAAA-færslu, og villan virðist slitrótt því hún fer eftir því hvaða svar berst fyrst.

Veldu eina viðhaldsleið og haltu þér við hana

Þrír verjanlegir valkostir eru til: viðhaldsumferð um göngin, um stýrðan uppfærslumilliþjón eða um þrönga beina undantekningu. Veldu einn af ásettu ráði og sjáðu til að uppflettingin sé sammála, því skipting þar sem nöfn leysast á einn veg og tengingar fara annan veg framleiðir bilanir sem enginn getur skýrt.

Hvað sem þú velur má það ekki verða ótakmörkuð varaleið. Ef bein útleiðarumferð er bönnuð þegar göngin eru niðri, er viðhaldsundantekning sem leyfir hljóðlega allt stefnubreyting í dulargervi sem viðgerð. Haltu eigin endapunkti gáttarinnar og ræsibörfum hennar í sérstökum flokki frá aðgangi að geymslum, því þau benda á mismunandi áfangastaði og bregðast á mismunandi vegu, svo ein undantekning getur ekki náð yfir hina.

Staðfestu án þess að veikja prófanirnar

Beittu umfanginu í gegnum eldvegginn sem á stefnuna nú þegar, í stað þess að bæta við öðrum stjóra af því að ein leiðarvísir notaði hann. Keyrðu síðan lýsigagnauppfærslu og eina raunverulega pakkaaðgerð undir viðhaldinni stefnu, og lestu úttakið frekar en útgangsstöðuna eina.

Árangursríkur flutningur er ekki leyfi til að slaka á staðfestingu. Auðkenning geymslunnar og auðkenni TLS-þjónsins eru aðskildar tryggingar, og að slökkva á öðru hvoru til að þagga niður villu breytir því sem þú treystir, ekki því sem þú getur náð.

Ljúktu með því að prófa viljandi tilfellið án ganga. Að vita hvernig gáttin hagar sér án ganganna er hluti af hönnuninni, að uppgötva það í niðurfellingu er það ekki. Taktu göngin niður, keyrðu lýsigagnauppfærsluna og staðfestu að hýsillinn bregst á þann hátt sem þú ætlaðir í stað þess að falla hljóðlega aftur á opna leið. Haltu skírteinum geymslna og milliþjóns utan sameiginlegrar greiningar, og skildu eftir athugasemd sem nefnir hver á uppfærsluleiðina.