VPN vārtejas atjauninājums neizdodas: vispirms izlasiet posmu, tad atveriet izeju
Neizdevies atjauninājums nosauc posmu, nevis trūkstošu portu. Sasaistiet ziņojumu ar tā īpašnieku, izlasiet starpniekservera ceļu un tad apzināti izlemiet uzturēšanas politiku.
Atteikšanās instalēt drošības atjauninājumus ir tikai viena slikta nedēļa līdz brīdim, kad kļūstat par kāda cita problēmu, un vārteja, kas ielaiž klientus, ir vieglākā vieta šim ieradumam izveidoties. Parastais cēlonis nav trūkstošs maršruts, bet trūkstošs lēmums: neviens nav teicis, kā pašam resursdatoram jāsasniedz krātuve, ja klientu pāradresācija apzināti ir šaura. Šis lēmums ir jāpieņem skaidri, un tam jābūt šaurākam par izejošās politikas izslēgšanu uz vienu pēcpusdienu.
Četri posmi, četri dažādi īpašnieki
Atjauninājuma kļūme ir nosaukts posms, neatkarīgi no tā, vai ziņojums to saka, un katrs posms pieder citam īpašniekam. Nosaukums, ko nevar atrisināt, ir jautājums atrisinātājam. Savienojums, kam beidzas laiks, ir jautājums transportam, starpniekserverim vai tālajam galam. TLS identitātes kļūda ir uzticēšanās jautājums, un noraidīti arhīva metadati ir paraksta jautājums. Četri posmi, četri īpašnieki, un porta noteikums vienmēr atbild tikai uz vienu no tiem.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping un nosaukumu atrisināšana ir divi testi, pie kuriem cilvēki ķeras vispirms, un abi atbild uz jautājumiem, ko neviens nav uzdevis. Atbalss atbilde izmanto citu protokolu nekā krātuves savienojums, un veiksmīgs vaicājums apstājas pie nosaukumu atrisināšanas, nepārbaudot iegūšanu. Abi var izturēt, kamēr īstais darījums neizdodas, un abi var neizdoties iemeslu dēļ, kam nav sakara ar ceļu.
Izlasiet ceļu, ko pārvaldnieks patiešām iet
Pārbaudiet konfigurētos avota URI un faktisko starpniekservera izkārtojumu, nevis pieņemiet kādu no tiem. Noteikums, kas rakstīts vienkāršam HTTP, nav labojums, ja krātuve runā HTTPS, un organizācija, kas pieprasa starpniekserveri, ceļu jau ir izvēlējusies. Pakotņu pārvaldnieki ievēro vides mainīgos un savu konfigurāciju, un resursdatoram raksturīgi iestatījumi var pārrakstīt globālos. Tas, ko dara interaktīva pārlūkprogramma, nav obligāti tas, ko dara pārvaldnieks.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT transporta dokumentācija apraksta, kuri iestatījumi attiecas uz kuru URI shēmu un kā tiek rakstītas resursdatoram raksturīgas izvēles. Saglabājiet komandu izvadi kopā ar biļeti, jo tā atdala starpniekservera problēmu no trūkstoša maršruta ātrāk nekā jebkurš ping rezultātu skaits. Pierakstiet precīzu galamērķi, portu un protokolu, ko pārvaldnieks mēģina, un ļaujiet ugunsmūra izmaiņām balstīties uz šo ierakstu, nevis uz minētu spoguļa adresi, kas noveco dažu mēnešu laikā.
Izvēlieties uzturēšanas politiku, nevis izņēmumu
Trīs politikas ir aizstāvamas: uzturēt caur tuneli, uzturēt caur pārvaldītu atjauninājumu starpniekserveri vai uzturēt caur stingri atļautu tiešu maršrutu. Katra no tām paredz tai atbilstošu atrisinātāja izkārtojumu. Nav aizstāvams izņēmums, kas klusi kļūst par neierobežotu rezerves ceļu ikreiz, kad tunelis nokrīt.
Pierakstiet izvēlēto politiku kopā ar īpašnieku, jo nākamais operators atradīs noteikumu, nevis pamatojumu aiz tā. Piemērojiet atļauju caur esošo ugunsmūri un tīkla īpašnieku, nevis iztīrot noteikumus vai pievienojot otru politikas pārvaldnieku vienam resursdatoram. Aptveriet adrešu saimes un pakalpojumu galapunktus, ko izmanto īstais avots, un pārskatiet sarakstu, kad krātuve pārceļas.
Pārbaudiet, nevājinot uzticēšanos
Veiksmīgs transports nav atļauja mīkstināt pārbaudi: arhīva autentifikācija un TLS servera identitāte ir divas atšķirīgas pārbaudes, un jebkuras izslēgšana liek kļūdai pazust, vienlaikus mainot to, ko resursdators pieņems. Pārtverošs starpniekserveris ir tīkla īpašnieka uzticēšanās lēmums, nevis iemesls izslēgt pārbaudi lokāli, un krātuves akreditācijas dati nav jāiekļauj koplietotā diagnostikā, jo detalizēts žurnāls ir vieglākā vieta to noplūdei.
Pieņemiet izmaiņas ar kontrolētu metadatu iegūšanu un pēc tam vienu apstiprinātu pakotnes darījumu, tad pārbaudiet, kas notiek, kad tunelis nokrīt. Uzturēšanas ceļš, kas pārtraukuma laikā klusi paplašinās, ir sliktāks par tādu, kas neizdodas aizvērts, un rezultātam jābūt atjauninājumu ceļam ar nosauktu īpašnieku un ierobežotu tvērumu.