VPN шлюзінің жаңартылуы сәтсіз аяқталады: шығысты ашпас бұрын кезеңді оқыңыз
Сәтсіз жаңарту жетіспейтін портты емес, кезеңді атайды. Хабарламаны оның иесімен байланыстырыңыз, прокси жолын оқыңыз, содан кейін қызмет көрсету саясаты туралы әдейі шешім қабылдаңыз.
Қауіпсіздік жаңартуларын орнатудан бас тарту — басқа біреудің мәселесіне айналуға дейінгі бір ғана нашар апта, ал клиенттерді қабылдайтын шлюз осы әдетті дамытудың ең оңай орны. Кәдімгі себеп — жетіспейтін маршрут емес, жетіспейтін шешім: клиенттерді жіберу әдейі тар болғанда хосттың өзі қорғанысқа қалай жететінін ешкім айтпаған. Бұл шешім айқын қабылдануы керек және түстен кейін шығыс саясатын өшіруден тар болуы керек.
Төрт кезең, төрт түрлі иесі
Жаңарту сәтсіздігі — хабарлама айтса да, айтпаса да, аталған кезең, және әр кезең басқа иеге тиесілі. Шешілмейтін атау — шешушіге қойылатын сұрақ. Уақыты бітетін қосылым — тасымалдауға, проксиге немесе алыс жаққа қойылатын сұрақ. TLS сәйкестік қатесі — сенім мәселесі, ал қабылданбаған мұрағат метадеректері — қолтаңба мәселесі. Төрт кезең, төрт ие, ал порт ережесі әрқашан солардың біреуіне ғана жауап береді.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Пинг пен атауларды шешу — адамдар бірінші қолданатын екі тест, және екеуі де ешкім қоймаған сұрақтарға жауап береді. Эхо жауабы қорғаныспен байланыстан басқа протоколды пайдаланады, ал сәтті іздеу жүктеуді сынамай-ақ атауларды шешуде тоқтайды. Екеуі де нақты транзакция сәтсіз болғанда өтуі мүмкін, және екеуі де жолға қатысы жоқ себептермен сәтсіз болуы мүмкін.
Менеджер нақты жүретін жолды оқыңыз
Конфигурацияланған бастапқы URI-лерді және проксидің нақты реттелуін болжаудың орнына тексеріңіз. Қарапайым HTTP үшін жазылған ереже қорғаныс HTTPS сөйлегенде жөндеу емес, ал проксиді талап ететін ұйым жолды әлдеқашан таңдаған. Пакет менеджерлері орта айнымалыларын және өз конфигурациясын сақтайды, ал хостқа тән параметрлер жаһандықты басып алуы мүмкін. Интерактивті браузер жасайтын нәрсе менеджер жасайтын нәрсе бола бермейді.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT тасымалдау құжаттамасы қай параметрлердің қай URI схемасына қолданылатынын және хостқа тән таңдаулардың қалай жазылатынын сипаттайды. Командалардың шығысын тикетпен бірге сақтаңыз, өйткені ол прокси мәселесін жетіспейтін маршруттан кез келген пинг нәтижелерінен тезірек ажыратады. Менеджер талпынатын нақты межелі орынды, портты және протоколды жазыңыз, ал брандмауэр өзгерісі болжамды айна мекенжайына емес, сол жазбаға сүйенсін — ол айлар ішінде ескіреді.
Қызмет көрсету саясатын таңдаңыз, ерекшелік емес
Үш саясат қорғауға болады: туннель арқылы қызмет көрсету, басқарылатын жаңарту проксиі арқылы қызмет көрсету немесе тар рұқсат етілген тікелей маршрут арқылы қызмет көрсету. Әрқайсысы өзіне сәйкес шешуші реттелуін болжайды. Қорғауға болмайтын нәрсе — туннель құлаған сайын тыныш түрде шексіз қосалқы жолға айналатын ерекшелік.
Таңдалған саясатты иесімен бірге жазыңыз, өйткені келесі оператор ережені табады, ал оның артындағы дәлелді емес. Рұқсатты ережелерді тазарту немесе бір хост үшін екінші саясат менеджерін қосу арқылы емес, қолданыстағы брандмауэр мен желі иесі арқылы қолданыңыз. Нақты көз пайдаланатын мекенжай топтары мен қызмет шеткі нүктелерін қамтыңыз, ал қорғаныс көшкенде тізімді қайта қараңыз.
Сенімді әлсіретпей тексеріңіз
Сәтті тасымалдау — тексеруді босаңсытуға рұқсат емес: мұрағат аутентификациясы мен TLS серверінің сәйкестігі екі бөлек тексеру, ал кез келгенін өшіру қатені жоғалтып, хосттың нені қабылдайтынын өзгертеді. Араға түсетін прокси — желі иесінің сенім шешімі, тексеруді жергілікті өшіруге себеп емес, ал қорғаныс тіркелгі деректері ортақ диагностикаға жатпайды, өйткені егжей-тегжейлі журнал олардың ағып кетуінің ең оңай орны.
Өзгерісті бақыланатын метадеректер алуымен, содан кейін бір мақұлданған пакет транзакциясымен қабылдаңыз, содан кейін туннель құлағанда не болатынын тексеріңіз. Үзіліс кезінде тыныш кеңейетін қызмет көрсету жолы жабық түрде сәтсіз болатын жолдан нашар, ал нәтиже аталған иесі мен шектелген ауқымы бар жаңарту жолы болуы керек.