Ären VPN-Gateway brauch nach ëmmer e Wee, fir Aktualiséierungen ze installéieren

Den Tunnel funktionéiert fir all déi hannendrun, de Gateway leet hiren Trafic weider, an awer kann de Rechner selwer keng Sécherheetsaktualiséierung installéieren. Dat ass déi üblech Form vum Problem: d'Weiderleetberechtegung kruten d'Cliente ginn, an d'eegen ausgehend Verbindungen vum Gateway sinn ni an de Plang komm. De Pakmanager mécht seng eege Sockets op, vum Gateway aus, op e Repository zou, deen Dir wahrscheinlech néierens an der Firewallpolitik genannt hutt.

E Gateway ze spären ass richteg. En esou grëndlech ze spären, datt en opgehéiert Patches ze kréien, ass eng aner Decisioun, an normalerweis eng zoufälleg.

Lokalen Ausgang ass keng Client-Weiderleet

Weiderleetregele gëllen fir Pakete, déi vun soss nach emkommen an duerch de Gateway ginn. Dem Gateway säin eegenen Aktualiséierungstrafic passt ni dorobber; en entsteet lokal a geet iwwer den Ausgangspad. Dësen Ënnerscheed erkläert eng Stéierung, déi onméiglech schéngt, während den Zougang vun de Cliente perfekt funktionnéiert.

En erkläert och eng Lück an der Politik, déi Tester iwwersteet, well eng séier Kontroll vun engem Laptop hannert dem Tunnel beweise gëtt, datt d'Weiderleetkette funktionnéiert, an näischt iwwer dem Host seng eege Verbindunge seet. Betruecht de Gateway als zwou Sujeten: en Router mat enger Weiderleetkette an e Host mat enger Ausgangskette. Béid brauchen eng Meenung, an normalerweis gëtt just eng dovun opgeschriwwen.

Nennt d'Etapp, déi gescheitert ass

Aktualiséierungsfeeler nennen ënnerschiddlech Grenzen, an engem Portregel nozegräifen, ier ee liest, wéi eng gescheitert ass, kascht en Nomëtteg. En Depotnumm, dee sech net opléist, ass eng Resolver-Fro, keng Transportfro.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

En Timeout no enger erfollegräicher Opléisung verréckelt d'Fro op den Transport: wéi eng Adress, wéi e Port a wéi ee konfiguréierte Proxy de Pakmanager tatsächlech probéiert huet. En TLS-Verifikatiounsfeeler ass eng drëtt, komplett aner Saach, an en heescht, datt d'Verbindung gutt genuch funktionnéiert huet fir ze verhandelen. Eng Beschwéierung iwwer d'Archivauthentiséierung ass déi véiert Etapp, an et geet ëm ënnerschriwwen Metadaten an net ëm d'Erreechbarkeet. Véier Etappen, véier verschidde Reparaturen, an e Ping beschreift ëmmer just ee Protokoll, deen keen Pakmanager benotzt.

Liest d'Quëstellëscht, ier Dir eng Regel derbäisetzt

Lëscht déi tatsächlech Quëllen-URIen an déi effektiv Proxykonfiguratioun op, net déi, un déi Dir Iech erënnert. Eng Regel, déi fir einfachen HTTP geschriwwe gouf, ass notzlos, wa Quëll HTTPS ass, an e Proxy, deen d'Shell kennt, kann onsiichtbar si fir en Déngscht, deen beim Start mat engem aneren Ëmfeld gestart gëtt.

D'Dokumentatioun vum HTTP-Transport an APT deckt Ëmfeld- an APT-spezifesch Proxyastellungen of, och d'Auswiel pro Host, an hirem HTTPS-Transport huet seng eege Verifikatiounsastellungen. De Wee vun engem Browser an de Wee vum Pakmanager si getrennt Weeër, och op der selwechter Maschinn.

Notéiert, a wéi eng Famillen d'Quëllen sech opléisen. Eng Regel, déi nëmmen IPv4 erlaabt, wäert weider op engem Host scheiteren, deem seng Quëllen en AAAA-Andro virzéien, an de Feeler schéngt intermittierend, well en dovun ofhängt, wéi eng Äntwert als éischt ukënnt.

Wielt een Ënnerhaltswee an haalt deen

Et gëtt dräi verdedegbar Optiounen: Ënnerhaltstrafic duerch den Tunnel, duerch en geréierten Aktualiséierungsproxy oder duerch eng schmuel direkt Ausnam. Wielt eng bewosst an de Resolver soll och domatter averstane sinn, well eng Spléckung, bei där Nimm an eng Richtung opléisen a Verbindungen an déi aner ginn, Stéierungen ervirbréngt, déi kee ka erklären.

Wat Dir och wielt, et däerf net eng onbeschränkt Reservléisung ginn. Wann direkten ausgehenden Trafic verbueden ass, wann den Tunnel net leeft, ass eng Ënnerhaltsausnam, déi stëll alles erlaabt, eng Politikännerung, déi als Fix verkleet ass. Halt dem Tunnel säin eegenen Endpunkt a seng Bootstrap-Bedierfnesser an enger getrennter Kategorie vum Zougang zu Repositories, well se op verschidde Destinatiounen zéien a op verschidde Manéiere scheiteren, sou datt eng Ausnam déi aner net ka decken.

Verifizéiert, ouni d'Kontrollen ze schwächen

Wendt den Ëmfang iwwer d'Firewall un, déi d'Politik schonn huet, amplaz en zweete Manager derbäizesetzen, well eng Guide en benotzt huet. Féiert da mat enger Aktualiséierung vun de Metadaten an enger richteger Paktransaktioun ënner der ënnerhalener Politik aus, a liest den Ausgang amplaz just den Exitstatus.

Erfollechen Transport ass keng Erlaabnis, d'Verifikatioun ze läschen. D'Archivauthentiséierung an d'Identitéit vum TLS-Server si separat Garantien, an eng vun deenen auszeschalten, fir e Feeler ze stëllen, ännert, wat Dir vertraut, net, wat Dir kënnt erreechen.

Schléisst of, andeems Dir de Fall ouni Tunnel bewosst test. Ze wëssen, wéi de Gateway sech ouni säin Tunnel behëlt, gehéiert zum Design, et wärend enger Stéierung erauszefannen net. Maacht den Tunnel erof, féiert d'Aktualiséierung vun de Metadaten aus a bestätegt, datt den Host op déi virgesinn Manéier scheitert, amplaz stëll op en oppene Wee zeréckzefalen. Halt d'Kredentialer vun de Repositories an dem Proxy ausserhalb vun deelen Diagnosen a loosst eng Notiz, déi nennt, wien den Aktualiséierungswee besëtzt.