Сіздің VPN шлюзіңізге әлі де жаңартуларды орнату жолы қажет

Туннель оның артындағы барлығы үшін жұмыс істейді, шлюз олардың трафигін жібереді, бірақ машинаның өзі қауіпсіздік жаңартуын орната алмайды. Бұл мәселенің әдеттегі пішіні: жіберу рұқсаты клиенттерге берілді, ал шлюздің өзінің шығыс қосылымдары жоспарға ешқашан қосылмады. Пакет менеджері өз сокеттерін ашады, шлюзден, сіз брандмауэр саясатында еш жерде атамаған қоймаға қарай.

Шлюзді құлыптау дұрыс. Оны патчтарды алуды тоқтататындай мұқият құлыптау — басқа шешім, және әдетте кездейсоқ.

Жергілікті шығыс клиенттерді жіберу емес

Жіберу ережелері басқа жерден келіп, шлюз арқылы шығатын пакеттерді басқарады. Шлюздің өзінің жаңарту трафигі оларға ешқашан сәйкес келмейді; ол жергілікті түрде пайда болады және шығыс жолымен жүреді. Бұл айырмашылық клиент қатынасы мінсіз жұмыс істеп тұрғанда мүмкін емес көрінетін ақауды түсіндіреді.

Ол сондай-ақ сынақтардан өтетін саясат олқылығын түсіндіреді, өйткені туннельдің артындағы ноутбуктен жылдам тексеру жіберу тізбегінің жұмыс істейтінін дәлелдейді және хосттың өз қосылымдары туралы ештеңе айтпайды. Шлюзді екі субъект ретінде қарастырыңыз: жіберу тізбегі бар маршрутизатор және шығыс тізбегі бар хост. Екеуіне де пікір қажет, және әдетте тек біреуі жазылады.

Сәтсіз болған кезеңді атаңыз

Жаңарту қателері әртүрлі шекараларды атайды, ал қайсысы сәтсіз болғанын оқымай тұрып порт ережесіне жүгіну жарты күнді алады. Шешілмейтін қойма атауы — шешуші сұрақ, көлік сұрағы емес.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Сәтті іздеуден кейінгі уақыт асуы сұрақты көлікке ауыстырады: пакет менеджері шын мәнінде қай мекенжайды, қай портты және қай конфигурацияланған проксиді сынап көрді. TLS тексеру қатесі — үшінші, мүлдем басқа нәрсе, және ол қосылым келіссөз жүргізуге жеткілікті жақсы жұмыс істегенін білдіреді. Мұрағат аутентификациясы туралы шағым — төртінші кезең, және ол қолжетімділікке емес, қол қойылған метадеректерге қатысты. Төрт кезең, төрт түрлі жөндеу, ал ping әрқашан ешбір пакет менеджері пайдаланбайтын тек бір хаттаманы сипаттайды.

Ереже қоспас бұрын дереккөздер тізімін оқыңыз

Есіңізде қалғандарын емес, нақты дереккөз URI-лерін және тиімді прокси конфигурациясын тізімдеңіз. Қарапайым HTTP үшін жазылған ереже дереккөз HTTPS болғанда пайдасыз, ал қабық білетін прокси жүктеу кезінде басқа ортамен іске қосылған қызмет үшін көрінбейтін болуы мүмкін.

APT HTTP көлігі құжаттамасы орта және APT-ге тән прокси параметрлерін, соның ішінде хост бойынша таңдауларды қамтиды, және оның HTTPS көлігінің өз тексеру параметрлері бар. Браузер жүретін жол мен пакет менеджері жүретін жол — тіпті бір машинада да бөлек жолдар.

Дереккөздердің қай мекенжай отбасыларына шешілетініне назар аударыңыз. Тек IPv4-ке рұқсат беретін ереже дереккөздері AAAA жазбасын қалайтын хостта сәтсіздікке ұшырай береді, ал қате үзінді болып көрінеді, өйткені қай жауаптың бірінші келетініне байланысты.

Бір техникалық қызмет жолын таңдап, оны ұстаныңыз

Үш қорғауға болатын нұсқа бар: туннель арқылы техникалық қызмет трафигі, басқарылатын жаңарту проксиі арқылы немесе тар тікелей ерекшелік арқылы. Біреуін әдейі таңдаңыз және шешушінің де келісетініне көз жеткізіңіз, өйткені атаулар бір бағытқа шешілетін және қосылымдар басқа бағытқа кететін бөліну ешкім түсіндіре алмайтын ақауларды тудырады.

Не таңдасаңыз да, бұл шексіз қосалқы нұсқаға айналмауы керек. Егер туннель жұмыс істемегенде тікелей шығыс трафигіне тыйым салынса, бәріне үнсіз рұқсат беретін техникалық қызмет ерекшелігі — түзету ретінде жасырылған саясат өзгерісі. Туннельдің өз соңғы нүктесін және bootstrap қажеттіліктерін қоймаға кіруден бөлек санатта ұстаңыз, өйткені олар әртүрлі межелерге нұсқайды және әртүрлі тәсілдермен сәтсіздікке ұшырайды, сондықтан бір ерекшелік екіншісін жаба алмайды.

Тексерулерді әлсіретпей тексеріңіз

Аумақты бір нұсқаулық пайдаланды деп екінші менеджер қосудың орнына, саясатқа әлдеқашан ие брандмауэр арқылы қолданыңыз. Содан кейін қолдау көрсетілетін саясат бойынша метадеректерді жаңартуды және бір нақты пакет операциясын іске қосыңыз, және тек шығу мәртебесін емес, шығысты оқыңыз.

Сәтті көлік тексеруді әлсіретуге рұқсат емес. Мұрағат аутентификациясы мен TLS серверінің сәйкестігі — бөлек кепілдіктер, және қатені үнсіз қалдыру үшін олардың кез келгенін өшіру сіз сенетін нәрсені өзгертеді, қол жеткізе алатыныңызды емес.

Туннельсіз жағдайды әдейі сынаумен аяқтаңыз. Шлюздің туннельсіз қалай әрекет ететінін білу — дизайнның бөлігі, оны үзіліс кезінде анықтау емес. Туннельді түсіріңіз, метадеректерді жаңартуды іске қосыңыз және хосттың көздеген жолмен сәтсіздікке ұшырайтынын, үнсіз ашық жолға қайта оралмайтынын растаңыз. Қойма мен прокси тіркелгі деректерін ортақ диагностикадан тыс ұстаңыз және жаңарту жолы кімге тиесілі екенін көрсететін жазба қалдырыңыз.