Ажурирањето на VPN портата не успева: прочитајте ја фазата пред да го отворите излезот
Неуспешно ажурирање именува фаза, а не порта што недостасува. Поврзете ја пораката со нејзиниот сопственик, прочитајте ја патеката на проксито и потоа свесно одлучете за политиката за одржување.
Одбивањето да се инсталираат безбедносни ажурирања е само една лоша недела далеку од тоа да станете туѓ проблем, а портата што пушта клиенти е најлесното место за развивање на таа навика. Вообичаената причина не е патека што недостасува, туку одлука што недостасува: никој не кажа како самиот домаќин треба да стигне до складиштето кога препраќањето на клиенти е намерно тесно. Таа одлука мора да се донесе експлицитно и мора да биде потесна од исклучувањето на излезната политика за едно попладне.
Четири фази, четири различни сопственици
Неуспехот на ажурирањето е именувана фаза, без разлика дали пораката го кажува тоа или не, и секоја фаза му припаѓа на различен сопственик. Име што не може да се разреши е прашање за разрешувачот. Врска што истекува е прашање за преносот, проксито или далечниот крај. Грешка во идентитетот TLS е прашање на доверба, а одбиените метаподатоци од архивата се прашање на потпис. Четири фази, четири сопственици, а правилото за порта секогаш одговара само на едно од нив.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Пингот и разрешувањето на имиња се двата теста што луѓето прво ги користат, и двата одговараат на прашања што никој не ги поставил. Одговорот на ехо користи друг протокол од врската со складиштето, а успешното пребарување запира при разрешувањето на имињата без да го тестира преземањето. Двете можат да поминат додека вистинската трансакција не успева, и двете можат да не успеат од причини што немаат врска со патеката.
Прочитајте ја патеката што управувачот навистина ја следи
Прегледајте ги конфигурираните изворни URI-а и вистинскиот распоред на проксито наместо да претпоставите било кое од нив. Правило напишано за обичен HTTP не е поправка кога складиштето зборува HTTPS, а организација што бара прокси веќе ја избрала патеката. Управувачите со пакети ги почитуваат променливите на околината и сопствената конфигурација, а поставките специфични за домаќинот можат да ја надминат глобалната. Она што го прави интерактивен прелистувач не мора да биде она што го прави управувачот.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyДокументацијата за преносот на APT опишува кои поставки важат за која URI шема и како се пишуваат изборите специфични за домаќинот. Зачувајте го излезот од наредбите со тикетот, бидејќи побрзо одвојува проблем со проксито од патека што недостасува отколку било кој број резултати од пинг. Запишете ја точната дестинација, портата и протоколот што управувачот ги обидува и оставете ја промената на заштитниот ѕид да почива на тој запис наместо на претпоставена огледална адреса што старее во рок од неколку месеци.
Изберете политика за одржување, не исклучок
Три политики се одбраниви: одржување преку тунелот, одржување преку управувано прокси за ажурирања или одржување преку тесно овластена директна патека. Секоја подразбира соодветен распоред на разрешувачот. Она што не е одбраниво е исклучок што тивко станува неограничен резервен пат секој пат кога тунелот паѓа.
Запишете ја избраната политика со сопственик, бидејќи следниот оператор ќе го најде правилото, а не образложението зад него. Применете ја дозволата преку постоечкиот заштитен ѕид и сопственикот на мрежата наместо да ги испразните правилата или да додадете втор управувач со политики за еден домаќин. Покријте ги фамилиите на адреси и услужните крајни точки што ги користи вистинскиот извор и прегледајте ја листата кога складиштето ќе се пресели.
Проверувајте без слабеење на довербата
Успешниот пренос не е дозвола за олабавување на проверката: автентикацијата на архивата и идентитетот на TLS серверот се две различни проверки, а исклучувањето на која било од нив прави грешката да исчезне додека го менува она што домаќинот ќе го прифати. Пресретнувачко прокси е одлука за доверба на сопственикот на мрежата, а не причина да се исклучи проверката локално, а акредитивите на складиштето не припаѓаат во споделената дијагностика, бидејќи детален запис е најлесното место за нивно протекување.
Прифатете ја промената со контролирано преземање метаподатоци проследено со една одобрена трансакција на пакет, потоа тестирајте што се случува кога тунелот ќе падне. Патека за одржување што тивко се шири за време на прекин е полоша од онаа што не успева затворена, а резултатот треба да биде патека за ажурирања со именуван сопственик и ограничен опсег.