VPN-ის კარიბჭის განახლება ვერ ხერხდება: წაიკითხეთ ეტაპი გასასვლელის გახსნამდე
წარუმატებელი განახლება ასახელებს ეტაპს და არა დაკარგულ პორტს. დაუკავშირეთ შეტყობინება მის მფლობელს, წაიკითხეთ პროქსის გზა და შემდეგ შეგნებულად გადაწყვიტეთ ტექნიკური მომსახურების პოლიტიკა.
უსაფრთხოების განახლებების ინსტალაციაზე უარის თქმა მხოლოდ ერთი ცუდი კვირითაა დაშორებული იმას, რომ სხვის პრობლემად იქცეთ, ხოლო კარიბჭე, რომელიც კლიენტებს უშვებს, ამ ჩვევის გამომუშავების ყველაზე მარტივი ადგილია. ჩვეულებრივი მიზეზი არ არის დაკარგული მარშრუტი, არამედ დაკარგული გადაწყვეტილება: არავის უთქვამს, როგორ უნდა მიაღწიოს თავად ჰოსტმა საცავს, როცა კლიენტების გადაგზავნა განზრახ ვიწროა. ეს გადაწყვეტილება ცალსახად უნდა მიღებულ იქნას და უფრო ვიწრო უნდა იყოს, ვიდრე გასასვლელის პოლიტიკის ერთი ნახევარდღით გამორთვა.
ოთხი ეტაპი, ოთხი განსხვავებული მფლობელი
განახლების წარუმატებლობა დასახელებული ეტაპია, მიუხედავად იმისა, ამბობს ამას შეტყობინება თუ არა, და თითოეული ეტაპი სხვა მფლობელს ეკუთვნის. სახელი, რომელიც ვერ გადაიჭრება, გადამწყვეტის კითხვაა. კავშირი, რომელსაც ვადა ეწურება, ტრანსპორტის, პროქსის ან შორეული მხარის კითხვაა. TLS იდენტობის შეცდომა ნდობის კითხვაა, ხოლო უარყოფილი არქივის მეტამონაცემები ხელმოწერის კითხვაა. ოთხი ეტაპი, ოთხი მფლობელი და პორტის წესი ყოველთვის მხოლოდ ერთ მათგანს პასუხობს.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping და სახელების გადაწყვეტა ორი ტესტია, რომლებსაც ადამიანები პირველად იყენებენ, და ორივე პასუხობს კითხვებს, რომლებიც არავის დაუსვამს. Echo-ს პასუხი იყენებს სხვა პროტოკოლს, ვიდრე საცავის კავშირი, და წარმატებული ძიება ჩერდება სახელების გადაწყვეტაზე ჩამოტვირთვის შემოწმების გარეშე. ორივე შეიძლება გაიაროს, სანამ რეალური ტრანზაქცია ვერ ხერხდება, და ორივე შეიძლება ვერ გაიაროს გზასთან დაუკავშირებელი მიზეზებით.
წაიკითხეთ გზა, რომელსაც მმართველი რეალურად გადის
შეამოწმეთ კონფიგურირებული წყაროს URI-ები და პროქსის ფაქტობრივი განლაგება, ნაცვლად იმისა, რომ რომელიმე მათგანი ჩათვალოთ მოცემულად. ჩვეულებრივი HTTP-სთვის დაწერილი წესი არ არის შეკეთება, როცა საცავი HTTPS-ით საუბრობს, ხოლო ორგანიზაცია, რომელიც პროქსის მოითხოვს, უკვე აირჩია გზა. პაკეტების მმართველები პატივს სცემენ გარემოს ცვლადებს და საკუთარ კონფიგურაციას, ხოლო ჰოსტისთვის სპეციფიკური პარამეტრები შეიძლება გლობალურს გადააჭარბოს. რასაც ინტერაქტიული ბრაუზერი აკეთებს, არ უნდა იყოს ის, რასაც მმართველი აკეთებს.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT-ის ტრანსპორტის დოკუმენტაცია აღწერს, რომელი პარამეტრები მოქმედებს რომელი URI სქემისთვის და როგორ იწერება ჰოსტისთვის სპეციფიკური არჩევანი. შეინახეთ ბრძანებების გამომავალი ბილეთთან, რადგან ის პროქსის პრობლემას დაკარგული მარშრუტისგან უფრო სწრაფად ჰყოფს, ვიდრე პინგის ნებისმიერი რაოდენობის შედეგი. ჩაწერეთ ზუსტი დანიშნულება, პორტი და პროტოკოლი, რომელსაც მმართველი ცდილობს, და ნება მიეცით firewall-ის ცვლილებას დაეყრდნოს ამ ჩანაწერს და არა გამოგონილ სარკის მისამართს, რომელიც თვეებში მოძველდება.
აირჩიეთ ტექნიკური მომსახურების პოლიტიკა და არა გამონაკლისი
სამი პოლიტიკა დასაცავია: მომსახურება გვირაბის გავლით, მომსახურება მართული განახლების პროქსის გავლით ან მომსახურება ვიწროდ ავტორიზებული პირდაპირი მარშრუტით. თითოეული გულისხმობს შესაბამის გადამწყვეტის განლაგებას. რაც არ არის დასაცავი, არის გამონაკლისი, რომელიც ჩუმად უსაზღვრო სარეზერვო გზად იქცევა ყოველ ჯერზე, როცა გვირაბი ვარდება.
ჩაწერეთ არჩეული პოლიტიკა მფლობელთან ერთად, რადგან შემდეგი ოპერატორი იპოვის წესს და არა მის უკან არსებულ დასაბუთებას. გამოიყენეთ ნებართვა არსებული firewall-ისა და ქსელის მფლობელის მეშვეობით, ნაცვლად წესების გასუფთავებისა ან ერთი ჰოსტისთვის მეორე პოლიტიკის მმართველის დამატებისა. დაფარეთ მისამართების ოჯახები და სერვისის საბოლოო წერტილები, რომლებსაც რეალური წყარო იყენებს, და გადახედეთ სიას, როცა საცავი გადაადგილდება.
გადაამოწმეთ ნდობის შესუსტების გარეშე
წარმატებული ტრანსპორტი არ არის შემოწმების შესუსტების ნებართვა: არქივის აუთენტიფიკაცია და TLS სერვერის იდენტობა ორი განსხვავებული შემოწმებაა, და რომელიმეს გამორთვა შეცდომას აქრობს და ამავდროულად ცვლის იმას, რასაც ჰოსტი მიიღებს. ჩამჭრელი პროქსი ქსელის მფლობელის ნდობის გადაწყვეტილებაა და არა შემოწმების ლოკალურად გამორთვის მიზეზი, ხოლო საცავის სერტიფიკატები არ ეკუთვნის გაზიარებულ დიაგნოსტიკას, რადგან დეტალური ჟურნალი მათი გაჟონვის ყველაზე მარტივი ადგილია.
მიიღეთ ცვლილება კონტროლირებადი მეტამონაცემების მიღებით და შემდეგ ერთი დამტკიცებული პაკეტის ტრანზაქციით, შემდეგ შეამოწმეთ, რა ხდება, როცა გვირაბი ვარდება. ტექნიკური მომსახურების გზა, რომელიც შეფერხების დროს ჩუმად ფართოვდება, უარესია, ვიდრე ის, რომელიც დახურულად ვერ ხერხდება, და შედეგი უნდა იყოს განახლების გზა დასახელებული მფლობელით და შეზღუდული მოცულობით.