Сиздин VPN шлюзуңузга дагы эле жаңыртууларды орнотуу жолу керек

Туннель анын артындагы бардыгы үчүн иштейт, шлюз алардын трафигин өткөрөт, бирок машинанын өзү коопсуздук жаңыртуусун орното албайт. Бул маселенин кадимки формасы: өткөрүү уруксаты кардарларга берилди, ал эми шлюздун өзүнүн чыгуучу байланыштары планга эч качан киргизилген эмес. Пакет менеджери өз сокеттерин ачат, шлюзден, сиз брандмауэр саясатында эч жерде атабаган кампага карай.

Шлюзду кулпулоо туура. Аны жамаачыларды алууну токтотконго чейин кылдат кулпулоо — башка чечим, жана адатта кокус.

Жергиликтүү чыгуу кардарларды өткөрүү эмес

Өткөрүү эрежелери башка жерден келип, шлюз аркылуу чыккан пакеттерди башкарат. Шлюздун өзүнүн жаңыртуу трафиги аларга эч качан дал келбейт; ал жергиликтүү түрдө пайда болот жана чыгуу жолу менен жүрөт. Бул айырма кардарлардын кирүүсү мыкты иштеп турганда мүмкүн эмес көрүнгөн бузулушту түшүндүрөт.

Ал ошондой эле сыноолордон өткөн саясат кемтигин түшүндүрөт, анткени туннелдин артындагы ноутбуктан тез текшерүү өткөрүү чынжырынын иштешин далилдейт жана хосттун өзүнүн байланыштары жөнүндө эч нерсе айтпайт. Шлюзду эки субъект катары караңыз: өткөрүү чынжыры бар маршрутизатор жана чыгуу чынжыры бар хост. Экөөнө тең пикир керек, жана адатта бир гана жазылат.

Ийгиликсиз болгон баскычты атаңыз

Жаңыртуу каталары ар кандай чектерди атайт, ал эми кайсынысы ийгиликсиз болгонун окубастан порт эрежесине умтулуу жарым күндү алат. Чечилбеген кампа аталышы — чечүүчү суроо, транспорт суроосу эмес.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Ийгиликтүү издөөдөн кийинки убакыт ашуусу суроону транспортко жылдырат: пакет менеджери чындыгында кайсы даректи, кайсы портту жана кайсы конфигурацияланган проксини сынап көрдү. TLS текшерүү катасы — үчүнчү, таптакыр башка нерсе, жана ал байланыш сүйлөшүү жүргүзүү үчүн жетиштүү жакшы иштегенин билдирет. Архив аутентификациясы тууралуу дат — төртүнчү баскыч, жана ал жеткиликтүүлүккө эмес, кол коюлган метаберилүүлөргө тиешелүү. Төрт баскыч, төрт башка оңдоо, ал эми ping ар дайым эч бир пакет менеджери колдонбогон бир гана протоколду сүрөттөйт.

Эреже коштон мурун булактар тизмесин окуңуз

Эсиңизде калгандарын эмес, булактардын иш жүзүндөгү URIлерин жана натыйжалуу прокси конфигурациясын тизмелеңиз. Жөнөкөй HTTP үчүн жазылган эреже булак HTTPS болгондо пайдасыз, ал эми кабык билген прокси жүктөө учурунда башка чөйрө менен иштетилген кызмат үчүн көрүнбөй калышы мүмкүн.

APT HTTP транспорту боюнча документтери чөйрө жана APT үчүн мүнөздүү прокси жөндөөлөрүн, анын ичинде хост боюнча тандоону камтыйт, жана анын HTTPS транспортунун өз текшерүү жөндөөлөрү бар. Браузер жүргөн жол менен пакет менеджери жүргөн жол — атүгүл бир машинада да өзүнчө жолдор.

Булактар кайсы дарек үй-бүлөлөрүнө чечилерин белгилеңиз. Тек IPv4ке уруксат берген эреже булактары AAAA жазуусун артык көргөн хостто ийгиликсиз боло берет, ал эми ката үзгүлтүктүү көрүнөт, анткени кайсы жооп биринчи келерине көз каранды.

Бир техникалык тейлөө жолун тандап, ага бекем карманыңыз

Үч коргоого боло турган вариант бар: туннель аркылуу тейлөө трафиги, башкарылуучу жаңыртуу проксиси аркылуу же тар түз эрекшелик аркылуу. Бирөөнү атайын тандаңыз жана чечүүчүнүн да макул болушун камсыз кылыңыз, анткени аттар бир тарапка чечилип, байланыштар башка тарапка кеткен бөлүнүү эч ким түшүндүрө албаган бузулуштарды жаратат.

Эмнени тандабаңыз, бул чексиз камдык вариантка айланбашы керек. Эгер туннель иштебегенде түз чыгуучу трафикке тыюу салынса, баарына унчукпай уруксат берген тейлөө эрекшелиги — оңдоо катары жашырылган саясат өзгөрүүсү. Туннелдин өзүнүн акыркы чекитин жана bootstrap муктаждыктарын кампага кирүүдөн өзүнчө категорияда кармаңыз, анткени алар ар кандай багыттарга көрсөтөт жана ар кандай жолдор менен ийгиликсиз болот, ошондуктан бир эрекшелик экинчисин жаба албайт.

Текшерүүлөрдү алсыратпастан текшериңиз

Аймакты бир колдонмо колдонду деп экинчи менеджер кошуунун ордуна, саясатка мурун эле ээ болгон брандмауэр аркылуу колдонуңуз. Андан кийин колдоого алынган саясат боюнча метаберилүүлөрдү жаңыртууну жана бир реалдуу пакеттик операцияны иштетиңиз, жана чыгуу статусун гана эмес, чыгууну окуңуз.

Ийгиликтүү транспорт текшерүүнү алсыратууга уруксат эмес. Архив аутентификациясы жана TLS серверинин инсандыгы — өзүнчө кепилдиктер, жана катаны унчукпай калтыруу үчүн алардын кайсынысын болбосун өчүрүү сиз ишенген нерсени өзгөртөт, жете ала турганыңызды эмес.

Туннелсиз учурду атайын сыноо менен бүтүрүңүз. Шлюздун туннелсиз кандай аракет кыларын билүү — долбоордун бөлүгү, аны үзгүлтүк учурунда аныктоо эмес. Туннелди түшүрүңүз, метаберилүүлөрдү жаңыртууну иштетиңиз жана хосттун көздөгөн жолуңуз менен ийгиликсиз болушун, унчукпай ачык жолго кайтып кетпешин ырастаңыз. Кампа жана прокси эсептик маалыматтарын жалпы диагностикадан тышкары кармаңыз жана жаңыртуу жолу кимге таандык экенин көрсөткөн жазуу калтырыңыз.