თქვენს VPN კარიბჭეს ჯერ კიდევ სჭირდება განახლებების დაყენების გზა

გვირაბი მის უკან მდგარ ყველასთვის მუშაობს, კარიბჭე მათ ტრაფიკს გადასცემს, და მაინც თავად მანქანას უსაფრთხოების განახლების დაყენება არ შეუძლია. პრობლემის ჩვეულებრივი ფორმა ეს არის: გადაცემის ნებართვა კლიენტებს მიეცათ, ხოლო კარიბჭის საკუთარი გამავალი კავშირები გეგმაში არასდროს შევიდა. პაკეტების მენეჯერი თავის სოკეტებს ხსნის, კარიბჭიდან, იმ რეპოზიტორიისკენ, რომელიც თქვენ, სავარაუდოდ, არსად დაგირქმევიათ firewall-ის პოლიტიკაში.

კარიბჭის ჩაკეტვა სწორია. მისი იმდენად კარგად ჩაკეტვა, რომ პაჩების მიღება შეწყვიტოს, სხვა გადაწყვეტილებაა და, როგორც წესი, შემთხვევითი.

ლოკალური გამავალი არ არის კლიენტების გადაცემა

გადაცემის წესები მართავს პაკეტებს, რომლებიც სხვა ადგილიდან მოდის და კარიბჭის გავლით გადის. კარიბჭის საკუთარი განახლების ტრაფიკი მათ არასდროს ემთხვევა; ის ლოკალურად წარმოიქმნება და გამავალ გზას მიჰყვება. სწორედ ეს განსხვავება ხსნის იმ გაუმართაობას, რომელიც შეუძლებლად გამოიყურება, სანამ კლიენტების წვდომა უნაკლოდ მუშაობს.

ის ასევე ხსნის პოლიტიკის ხარვეზს, რომელიც ტესტებს გადაურჩება, რადგან გვირაბის უკან მდგარი ლეპტოპიდან სწრაფი შემოწმება ადასტურებს, რომ გადაცემის ჯაჭვი მუშაობს და ჰოსტის საკუთარი კავშირების შესახებ არაფერს ამბობს. კარიბჭეს მოექეცით როგორც ორ სუბიექტს: მარშრუტიზატორს გადაცემის ჯაჭვით და ჰოსტს გამავალი ჯაჭვით. ორივეს სჭირდება აზრი და, როგორც წესი, მხოლოდ ერთი იწერება.

დაასახელეთ ეტაპი, რომელიც ჩავარდა

განახლების შეცდომები სხვადასხვა საზღვრებს ასახელებს და პორტის წესზე წახტომა მანამ, სანამ წაიკითხავთ, რომელი ჩავარდა, ნახევარ დღეს ხარჯავს. რეპოზიტორიის სახელი, რომელიც არ იხსნება, resolver-ის კითხვაა, ტრანსპორტის კითხვა არა.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

დროის ამოწურვა წარმატებული ძიების შემდეგ კითხვას ტრანსპორტზე გადააქვს: რომელი მისამართი, რომელი პორტი და რომელი კონფიგურირებული პროქსი სცადა პაკეტების მენეჯერმა სინამდვილეში. TLS-ის შემოწმების შეცდომა მესამე, სრულიად სხვა რამ არის და ნიშნავს, რომ კავშირი საკმარისად კარგად მუშაობდა მოლაპარაკებისთვის. არქივის ავთენტიფიკაციის შესახებ საჩივარი მეოთხე ეტაპია, და ის ეხება ხელმოწერილ მეტამონაცემებს და არა ხელმისაწვდომობას. ოთხი ეტაპი, ოთხი განსხვავებული შეკეთება და ping ყოველთვის მხოლოდ ერთ პროტოკოლს აღწერს, რომელსაც არც ერთი პაკეტების მენეჯერი არ იყენებს.

წესის დამატებამდე წაიკითხეთ წყაროების სია

ჩამოთვალეთ ფაქტობრივი წყაროს URI-ები და ეფექტური პროქსის კონფიგურაცია და არა ის, რაც გახსოვთ. ჩვეულებრივი HTTP-სთვის დაწერილი წესი უსარგებლოა, როცა წყარო HTTPS-ია, და პროქსი, რომელიც shell-მა იცის, შეიძლება უხილავი იყოს ჩატვირთვისას სხვა გარემოთი გაშვებული სერვისისთვის.

APT-ის HTTP ტრანსპორტის დოკუმენტაცია მოიცავს გარემოს და APT-სპეციფიკურ პროქსის პარამეტრებს, მათ შორის არჩევანს თითოეული ჰოსტისთვის, და მის HTTPS ტრანსპორტს საკუთარი შემოწმების პარამეტრები აქვს. ბრაუზერის გზა და პაკეტების მენეჯერის გზა ცალკე გზებია, თუნდაც ერთსა და იმავე მანქანაზე.

ყურადღება მიაქციეთ, რომელ მისამართის ოჯახებში იხსნება წყაროები. წესი, რომელიც მხოლოდ IPv4-ს უშვებს, გააგრძელებს ჩავარდნას ჰოსტზე, რომლის წყაროები AAAA ჩანაწერს ანიჭებენ უპირატესობას, და შეცდომა წყვეტილად ჩანს, რადგან დამოკიდებულია იმაზე, რომელი პასუხი მოვა პირველი.

აირჩიეთ ერთი ტექნიკური მომსახურების გზა და დარჩით მასზე

არსებობს სამი დასაცავი ვარიანტი: ტექნიკური მომსახურების ტრაფიკი გვირაბის გავლით, მართული განახლების პროქსის გავლით ან ვიწრო პირდაპირი გამონაკლისის გავლით. აირჩიეთ ერთი განზრახ და მიაღწიეთ, რომ resolver დაეთანხმოს, რადგან გაყოფა, სადაც სახელები ერთი მიმართულებით იხსნება, კავშირები კი მეორე მიმართულებით მიდის, იწვევს გაუმართაობას, რომელსაც ვერავინ ახსნის.

რაც არ უნდა აირჩიოთ, ეს არ უნდა გახდეს შეუზღუდავი სარეზერვო გზა. თუ პირდაპირი გამავალი ტრაფიკი აკრძალულია, როცა გვირაბი გათიშულია, ტექნიკური მომსახურების გამონაკლისი, რომელიც ჩუმად ყველაფერს უშვებს, შეკეთების ნიღაბში გადაცმული პოლიტიკის ცვლილებაა. გვირაბის საკუთარი საბოლოო წერტილი და bootstrap-ის საჭიროებები ცალკე კატეგორიაში შეინახეთ რეპოზიტორიაზე წვდომისგან, რადგან ისინი სხვადასხვა დანიშნულებისკენ მიუთითებს და სხვადასხვაგვარად ჩავარდება, ამიტომ ერთი გამონაკლისი მეორეს ვერ დაფარავს.

გადაამოწმეთ შემოწმებების შესუსტების გარეშე

მოქმედების არეალი გაატარეთ იმ firewall-ის მეშვეობით, რომელსაც პოლიტიკა უკვე ეკუთვნის, ნაცვლად იმისა, რომ მეორე მენეჯერი დაამატოთ იმიტომ, რომ ერთმა სახელმძღვანელომ ის გამოიყენა. შემდეგ გაუშვით მეტამონაცემების განახლება და ერთი რეალური პაკეტის ტრანზაქცია შენარჩუნებული პოლიტიკის ქვეშ და წაიკითხეთ გამოსავალი და არა მხოლოდ გასვლის სტატუსი.

წარმატებული ტრანსპორტი შემოწმების შესუსტების ნებართვა არ არის. არქივის ავთენტიფიკაცია და TLS სერვერის იდენტობა ცალკეული გარანტიებია და რომელიმეს გამორთვა შეცდომის ჩასახშობად ცვლის იმას, რასაც ენდობით და არა იმას, რისი მიღწევაც შეგიძლიათ.

დაასრულეთ გვირაბის გარეშე შემთხვევის განზრახ შემოწმებით. იმის ცოდნა, თუ როგორ იქცევა კარიბჭე თავისი გვირაბის გარეშე, დიზაინის ნაწილია, ხოლო მისი შფოთვის დროს აღმოჩენა არა. ჩამოწიეთ გვირაბი, გაუშვით მეტამონაცემების განახლება და დაადასტურეთ, რომ ჰოსტი თქვენი განზრახვისამებრ ჩავარდება და არა ჩუმად დაუბრუნდება ღია გზას. რეპოზიტორიისა და პროქსის სერთიფიკატები საერთო დიაგნოსტიკისგან მოშორებით შეინახეთ და დატოვეთ შენიშვნა, სადაც ნათქვამია, ვის ეკუთვნის განახლების გზა.