VPN tinklų sietuvo atnaujinimas nepavyksta: pirma perskaitykite etapą, tada atverkite išėjimą
Nepavykęs atnaujinimas įvardija etapą, o ne trūkstamą prievadą. Susiekite pranešimą su jo savininku, perskaitykite tarpinio serverio kelią ir tada sąmoningai nuspręskite priežiūros politiką.
Atsisakymas diegti saugos atnaujinimus tėra viena bloga savaitė iki to, kai tapsite kieno nors kito problema, o tinklų sietuvas, įsileidžiantis klientus, yra lengviausia vieta tokiam įpročiui susiformuoti. Įprasta priežastis yra ne trūkstamas maršrutas, o trūkstamas sprendimas: niekas nepasakė, kaip pats mazgas turėtų pasiekti saugyklą, kai klientų peradresavimas sąmoningai siauras. Tas sprendimas turi būti priimtas aiškiai, ir jis turi būti siauresnis nei išeinančios politikos išjungimas vienai popietei.
Keturi etapai, keturi skirtingi savininkai
Atnaujinimo gedimas yra įvardytas etapas, nesvarbu, ar pranešimas tai sako, ir kiekvienas etapas priklauso kitam savininkui. Vardas, kurio nepavyksta išspręsti, yra rezolverio klausimas. Jungtis, kurios laikas baigiasi, yra transporto, tarpinio serverio ar tolimojo galo klausimas. TLS tapatybės klaida yra pasitikėjimo klausimas, o atmesti archyvo metaduomenys yra parašo klausimas. Keturi etapai, keturi savininkai, o prievado taisyklė visada atsako tik į vieną iš jų.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping ir vardų sprendimas yra du bandymai, kurių žmonės griebiasi pirmiausia, ir abu atsako į klausimus, kurių niekas neuždavė. Echo atsakas naudoja kitą protokolą nei saugyklos jungtis, o sėkminga užklausa sustoja ties vardų sprendimu ir neišbando gavimo. Abu gali praeiti, nors tikroji transakcija žlunga, ir abu gali žlugti dėl priežasčių, nesusijusių su keliu.
Perskaitykite kelią, kuriuo tvarkyklė iš tikrųjų eina
Tikrinkite sukonfigūruotus šaltinio URI ir faktinį tarpinio serverio išdėstymą, o ne manykite vieną ar kitą. Taisyklė, parašyta paprastam HTTP, nėra taisymas, kai saugykla kalba HTTPS, o organizacija, reikalaujanti tarpinio serverio, jau pasirinko kelią. Paketų tvarkyklės paiso aplinkos kintamųjų ir savo konfigūracijos, o mazgui būdingi nustatymai gali panaikinti visuotinius. Tai, ką daro interaktyvi naršyklė, nebūtinai yra tai, ką daro tvarkyklė.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT transporto dokumentacija aprašo, kurie nustatymai galioja kuriai URI schemai ir kaip užrašomi mazgui būdingi pasirinkimai. Išsaugokite komandų išvestį kartu su bilietu, nes ji atskiria tarpinio serverio problemą nuo trūkstamo maršruto greičiau nei bet koks ping rezultatų skaičius. Užrašykite tikslią paskirties vietą, prievadą ir protokolą, kuriuos tvarkyklė bando, ir leiskite ugniasienės pakeitimui remtis tuo įrašu, o ne spėjama veidrodžio adresu, kuri pasensta per kelis mėnesius.
Pasirinkite priežiūros politiką, o ne išimtį
Trys politikos yra apginamos: prižiūrėti per tunelį, prižiūrėti per valdomą atnaujinimų tarpinį serverį arba prižiūrėti per griežtai leistą tiesioginį maršrutą. Kiekviena jų numato jai tinkamą rezolverio išdėstymą. Nepaginama yra išimtis, kuri tyliai tampa neribotu atsarginiu keliu, kai tik tunelis nukrenta.
Užrašykite pasirinktą politiką kartu su savininku, nes kitas operatorius ras taisyklę, o ne jos priežastis. Taikykite leidimą per esamą ugniasienę ir tinklo savininką, o ne išvalydami taisykles ar pridėdami antrą politikos tvarkyklę vienam mazgui. Apimkite adresų šeimas ir paslaugų taškus, kuriuos naudoja tikrasis šaltinis, ir peržiūrėkite sąrašą, kai saugykla persikelia.
Tikrinkite nesusilpnindami pasitikėjimo
Sėkmingas transportas nėra leidimas atlaisvinti tikrinimą: archyvo autentifikavimas ir TLS serverio tapatybė yra du atskiri patikrinimai, o išjungus bet kurį iš jų klaida dingsta, bet pasikeičia tai, ką mazgas priims. Perimantis tarpinis serveris yra tinklo savininko pasitikėjimo sprendimas, o ne priežastis išjungti patikrinimą vietoje, o saugyklos prisijungimo duomenys neturi būti bendroje diagnostikoje, nes išsamus žurnalas yra lengviausia vieta jiems nutekėti.
Priimkite pakeitimą atlikdami kontroliuojamą metaduomenų gavimą ir vieną patvirtintą paketų transakciją, tada patikrinkite, kas nutinka, kai tunelis nukrenta. Priežiūros kelias, kuris gedimo metu tyliai išsiplečia, yra blogesnis už tą, kuris nepavyksta užsidaręs, o rezultatas turėtų būti atnaujinimo kelias su įvardytu savininku ir apribota apimtimi.