Jūsu VPN vārtejai joprojām vajadzīgs veids, kā instalēt atjauninājumus

Tunelis darbojas visiem aiz tā, vārteja pārsūta viņu satiksmi, un tomēr pati iekārta nevar instalēt drošības atjauninājumu. Tā ir ierastā problēmas forma: pārsūtīšanas atļauja tika piešķirta klientiem, un pašas vārtejas izejošie savienojumi nekad netika iekļauti plānā. Pakešu pārvaldnieks atver savas ligzdas, no vārtejas, uz krātuvi, kuru jūs, iespējams, nekur neesat nosaucis ugunsmūra politikā.

Vārtejas bloķēšana ir pareiza. Bloķēt to tik rūpīgi, ka tā pārstāj saņemt labojumus, ir cits lēmums, un parasti nejaušs.

Lokālā izeja nav klientu pārsūtīšana

Pārsūtīšanas noteikumi attiecas uz paketēm, kas ierodas no citurienes un iziet caur vārteju. Pašas vārtejas atjaunināšanas satiksme tiem nekad neatbilst; tā rodas lokāli un iet pa izejas ceļu. Šī atšķirība izskaidro kļūmi, kas šķiet neiespējama, kamēr klientu piekļuve darbojas nevainojami.

Tā arī izskaidro politikas robu, kas pārdzīvo testus, jo ātra pārbaude no klēpjdatora aiz tuneļa pierāda, ka pārsūtīšanas ķēde darbojas, un neko nepasaka par pašas saimniekmašīnas savienojumiem. Uzlūkojiet vārteju kā divus subjektus: maršrutētāju ar pārsūtīšanas ķēdi un saimniekmašīnu ar izejas ķēdi. Abiem vajadzīgs viedoklis, un parasti pieraksta tikai vienu.

Nosauciet neizdevušos posmu

Atjaunināšanas kļūdas nosauc dažādas robežas, un ķerties pie ostas noteikuma, pirms izlasīts, kurš neizdevās, maksā pēcpusdienu. Krātuves nosaukums, kas neatrisinās, ir resolver jautājums, nevis transporta jautājums.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Taimauts pēc veiksmīgas atrisināšanas pārvirza jautājumu uz transportu: kuru adresi, kuru ostu un kuru konfigurēto starpniekserveri pakešu pārvaldnieks faktiski izmēģināja. TLS verifikācijas kļūda ir trešā, pavisam cita lieta, un tā nozīmē, ka savienojums darbojās pietiekami labi, lai vienotos. Sūdzība par arhīva autentifikāciju ir ceturtais posms, un tā attiecas uz parakstītiem metadatiem, nevis sasniedzamību. Četri posmi, četri dažādi labojumi, un ping vienmēr apraksta tikai vienu protokolu, ko neizmanto neviens pakešu pārvaldnieks.

Izlasiet avotu sarakstu pirms noteikuma pievienošanas

Uzskaitiet faktiskos avotu URI un faktisko starpniekservera konfigurāciju, nevis tos, ko atceraties. Noteikums, kas rakstīts vienkāršam HTTP, ir bezjēdzīgs, ja avots ir HTTPS, un starpniekserveris, ko zina čaula, var būt neredzams pakalpojumam, kas palaists startēšanas laikā ar citu vidi.

APT HTTP transporta dokumentācija aptver vides un APT specifiskos starpniekservera iestatījumus, tostarp izvēles katram resursdatoram, un tās HTTPS transportam ir savi verifikācijas iestatījumi. Pārlūka ceļš un pakešu pārvaldnieka ceļš ir atsevišķi ceļi, pat tajā pašā mašīnā.

Ņemiet vērā, uz kurām saimēm avoti atrisinās. Noteikums, kas atļauj tikai IPv4, joprojām neizdosies resursdatorā, kura avoti dod priekšroku AAAA ierakstam, un kļūda šķiet periodiska, jo tā ir atkarīga no tā, kura atbilde ierodas pirmā.

Izvēlieties vienu uzturēšanas ceļu un pieturieties pie tā

Pastāv trīs aizstāvamas iespējas: uzturēšanas satiksme caur tuneli, caur pārvaldītu atjauninājumu starpniekserveri vai caur šauru tiešu izņēmumu. Izvēlieties vienu apzināti un panākiet, lai resolver tam piekrīt, jo sadalījums, kurā nosaukumi atrisinās vienā virzienā, bet savienojumi iet otrā, rada kļūmes, ko neviens nevar izskaidrot.

Lai ko jūs izvēlētos, tas nedrīkst kļūt par neierobežotu rezerves variantu. Ja tieša izejošā satiksme ir aizliegta, kad tunelis nedarbojas, uzturēšanas izņēmums, kas klusi atļauj visu, ir politikas maiņa, kas maskēta kā labojums. Turiet paša tuneļa galapunktu un bootstrap vajadzības atsevišķā kategorijā no piekļuves krātuvēm, jo tie norāda uz dažādiem galamērķiem un neizdodas dažādos veidos, tāpēc viens izņēmums nevar segt otru.

Pārbaudiet, nenovājinot pārbaudes

Piemērojiet tvērumu caur ugunsmūri, kam jau pieder politika, nevis pievienojiet otru pārvaldnieku tāpēc, ka kāda rokasgrāmata to izmantoja. Pēc tam palaidiet metadatu atjaunināšanu un vienu īstu pakešu darījumu saskaņā ar uzturēto politiku, un lasiet izvadi, nevis tikai iziešanas statusu.

Veiksmīgs transports nav atļauja mīkstināt verifikāciju. Arhīva autentifikācija un TLS servera identitāte ir atsevišķas garantijas, un jebkuras no tām izslēgšana, lai apklusinātu kļūdu, maina to, kam jūs uzticaties, nevis to, ko varat sasniegt.

Pabeidziet, apzināti testējot gadījumu bez tuneļa. Zināt, kā vārteja uzvedas bez sava tuneļa, ir daļa no projekta, uzzināt to avārijas laikā nav. Izslēdziet tuneli, palaidiet metadatu atjaunināšanu un apstipriniet, ka resursdators neizdodas paredzētajā veidā, nevis klusi atkrīt atpakaļ uz atvērtu ceļu. Turiet krātuvju un starpniekservera akreditācijas datus ārpus koplietotās diagnostikas un atstājiet piezīmi, kas nosauc, kam pieder atjaunināšanas ceļš.