Uppfærsla VPN-gáttar mistekst: lestu þrepið áður en útgangurinn er opnaður
Mistekin uppfærsla nefnir þrep, ekki vantað port. Tengdu skilaboðin við eiganda þeirra, lestu slóð milliliðarins og ákveddu síðan viðhaldsstefnuna af ásettu ráði.
Að neita að setja upp öryggisuppfærslur er aðeins ein vond vika frá því að verða vandamál einhvers annars, og gátt sem hleypir biðlurum inn er auðveldasti staðurinn til að skapa þann vana. Venjulega orsökin er ekki vantað leið heldur vantað ákvörðun: enginn sagði hvernig hýsilinn sjálfur á að ná í gagnasafn þegar framsending biðlara er viljandi þröng. Þá ákvörðun verður að taka berum orðum, og hún verður að vera þrengri en að slökkva á útgangsstefnunni eftir hádegi.
Fjögur þrep, fjórir ólíkir eigendur
Uppfærslumistök er nefnt þrep, hvort sem skilaboðin segja það eða ekki, og hvert þrep tilheyrir ólíkum eiganda. Nafn sem leysist ekki er spurning fyrir leysirinn. Tenging sem rennur út á tíma er spurning fyrir flutning, millilið eða fjarlæga endann. TLS-auðkennisvilla er traustsspurning, og hafnað safnlýsigögn eru undirritunarpurning. Fjögur þrep, fjórir eigendur, og portaregla svarar alltaf aðeins einu þeirra.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping og nafnleysing eru þau tvö próf sem fólk grípur fyrst til, og bæði svara spurningum sem enginn lagði fram. Bergmálssvar notar aðrar samskiptareglur en tengingin við gagnasafnið, og árangursrík uppfletting stöðvast við nafnleysingu án þess að prófa sóknina. Hvort tveggja getur staðist á meðan raunveruleg færsla mistekst, og hvort tveggja getur mistekist af ástæðum sem tengjast slóðinni ekki.
Lestu slóðina sem stjórnandinn fer í raun
Skoðaðu skilgreindar upprunalegar URI og raunverulega milliliðaruppsetningu í stað þess að gera ráð fyrir öðru hvoru. Regla skrifuð fyrir venjulegt HTTP er ekki viðgerð þegar gagnasafnið talar HTTPS, og samtök sem krefjast milliliðar hafa þegar valið slóðina. Pakkastjórar virða umhverfisbreytur og eigin stillingar, og stillingar sem eru sérstakar fyrir hýsilinn geta hnekkt alþjóðlegri stillingu. Það sem gagnvirkur vafri gerir þarf ekki að vera það sem stjórnandinn gerir.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT-flutningsskjöl lýsa því hvaða stillingar gilda fyrir hvaða URI-skrá og hvernig hýsilsbundin val eru skrifuð. Geymdu útkomu skipananna með miðanum, því hún aðskilur milliliðarvandamál frá vantaðri leið hraðar en hvaða fjöldi ping-niðurstaðna sem er. Skrifaðu niður nákvæma áfangastaðinn, portið og samskiptareglurnar sem stjórnandinn reynir, og láttu eldveggjarbreytinguna hvíla á þeirri skrá í stað ágiskunar á spegilfangi sem verður úrelt innan mánaða.
Veldu viðhaldsstefnu, ekki undantekningu
Þrjár stefnur eru verjandi: viðhalda í gegnum göngin, viðhalda í gegnum stýrðan uppfærslumillilið eða viðhalda í gegnum þröngt heimilaða beina leið. Hver þeirra felur í sér leysiruppsetningu sem hentar henni. Það sem er ekki verjandi er undantekning sem verður hljóðlega að ótakmörkuðu varaleið hvenær sem göngin falla.
Skrifaðu valda stefnu niður með eiganda, því næsti stjórnandi finnur regluna en ekki röksemdirnar að baki. Beittu heimildinni í gegnum núverandi eldvegg og eiganda netkerfisins í stað þess að skola reglur eða bæta við öðrum stefnustjóra fyrir einn hýsil. Náðu yfir netfangafjölskyldurnar og þjónustuendana sem raunverulega uppruninn notar, og farðu yfir listann þegar gagnasafnið flyst.
Sannreyndu án þess að veikja traust
Árangursríkur flutningur er ekki leyfi til að slaka á sannreyningu: sannvottun safnsins og auðkenni TLS-þjónsins eru tvær aðskildar athuganir, og að slökkva á öðru hvorri lætur villu hverfa á meðan það breytir því sem hýsilinn mun samþykkja. Milliliður sem grípur inn í er traustsákvörðun eiganda netkerfisins frekar en ástæða til að slökkva á athuguninni á staðnum, og skírteini gagnasafnsins eiga ekki heima í sameiginlegri greiningu, því ítarleg skrá er auðveldasti staðurinn til að leka þeim.
Samþykktu breytinguna með stýrðri lýsigagnasókn og síðan einni samþykktri pakkafærslu, og prófaðu þá hvað gerist þegar göngin falla. Viðhaldsslóð sem breikkar hljóðlega í truflun er verri en sú sem mistekst lokuð, og niðurstaðan ætti að vera uppfærsluslóð með nefndum eiganda og afmörkuðu umfangi.