Вашата VPN порта сѐ уште бара начин да инсталира ажурирања

Тунелот работи за сите зад него, портата го препраќа нивниот сообраќај, а сепак самата машина не може да инсталира безбедносно ажурирање. Ова е вообичаената форма на проблемот: дозволата за препраќање им е дадена на клиентите, а сопствените излезни врски на портата никогаш не биле вклучени во планот. Менаџерот на пакети ги отвора сопствените сокети, од портата, кон складиште што веројатно никаде не сте го именувале во правилата на огнениот ѕид.

Заклучувањето на порта е правилно. Заклучување толку темелно што таа престанува да добива закрпи е друга одлука, и обично случајна.

Локалниот излез не е препраќање на клиенти

Правилата за препраќање управуваат со пакети што пристигнуваат од друго место и излегуваат низ портата. Сопствениот сообраќај за ажурирања на портата никогаш не им одговара; тој се создава локално и оди по излезната патека. Таа разлика објаснува дефект што изгледа невозможен, додека пристапот на клиентите работи беспрекорно.

Таа објаснува и празнина во политиката што преживува тестирање, бидејќи брза проверка од преносен компјутер зад тунелот докажува дека синџирот за препраќање работи и не кажува ништо за сопствените врски на домаќинот. Третирајте ја портата како два субјекта: рутер со синџир за препраќање и домаќин со излезен синџир. И двата бараат став, а обично се запишува само еден.

Именувајте ја фазата што не успеа

Грешките при ажурирање именуваат различни граници, а посегнувањето по правило за порта пред да прочитате која не успеа чини попладне. Име на складиште што не се разрешува е прашање за resolver, а не прашање за транспорт.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Истекот на време по успешно разрешување го преместува прашањето на транспортот: која адреса, кој порт и кој конфигуриран прокси менаџерот на пакети навистина го обидел. Грешка при проверка на TLS е трето, сосема друго нешто, и значи дека врската работела доволно добро за да преговара. Жалба за автентикација на архивата е четвртата фаза, и се однесува на потпишани метаподатоци, а не на достапност. Четири фази, четири различни поправки, а ping секогаш опишува само еден протокол што ниту еден менаџер на пакети не го користи.

Прочитајте го списокот со извори пред да додадете правило

Наведете ги вистинските URI на изворите и вистинската конфигурација на прокси, а не тие што ги помните. Правило напишано за обичен HTTP е бескорисно кога изворот е HTTPS, а прокси што го познава лушпата може да биде невидлив за услуга стартувана при подигање со друга околина.

Документацијата за преносот HTTP во APT ги опфаќа прокси поставките на околината и тие специфични за APT, вклучувајќи избор по домаќин, и нејзиниот HTTPS пренос има сопствени поставки за проверка. Патеката што ја минува прелистувачот и патеката што ја минува менаџерот на пакети се одделни патеки, дури и на истата машина.

Забележете во кои семејства се разрешуваат изворите. Правило што дозволува само IPv4 продолжува да не успева на домаќин чии извори преферираат AAAA запис, а грешката изгледа повремена бидејќи зависи од тоа кој одговор пристигнува прв.

Изберете една патека за одржување и држете се до неа

Постојат три оправдани опции: сообраќај за одржување низ тунелот, низ управуван прокси за ажурирања или низ тесен директен исклучок. Изберете една свесно и погрижете се resolver-от да се согласи, бидејќи поделба во која имињата се разрешуваат на една страна, а врските одат на друга создава дефекти што никој не може да ги објасни.

Што и да изберете, тоа не смее да стане неограничена резервна опција. Ако директниот излезен сообраќај е забранет кога тунелот не работи, исклучокот за одржување што тивко дозволува сѐ е промена на политика преправена во поправка. Држете ја сопствената крајна точка на тунелот и потребите за bootstrap во одделна категорија од пристапот до складишта, бидејќи покажуваат кон различни одредишта и не успеваат на различни начини, па еден исклучок не може да го покрие другиот.

Проверувајте без да ги ослабнете проверките

Применете го опсегот низ огнениот ѕид што веќе ја поседува политиката, наместо да додадете втор менаџер затоа што еден водич го користел. Потоа извршете освежување на метаподатоците и една вистинска трансакција со пакети под одржуваната политика, и читајте го излезот, а не само излезниот статус.

Успешниот пренос не е дозвола за олабавување на проверката. Автентикацијата на архивата и идентитетот на TLS серверот се одделни гаранции, а исклучувањето на било која од нив за да се замолчи грешка менува тоа во што верувате, не тоа до што можете да стигнете.

Завршете со намерно тестирање на случајот без тунел. Да знаете како се однесува портата без својот тунел е дел од дизајнот, да го откриете тоа за време на прекин не е. Спуштете го тунелот, извршете освежување на метаподатоците и потврдете дека домаќинот не успева на предвидениот начин, наместо тивко да падне назад на отворена патека. Држете ги акредитивите за складиштата и проксито надвор од заедничката дијагностика и оставете белешка која наведува кому му припаѓа патеката за ажурирања.