Таны VPN гарцад шинэчлэл суулгах зам хараахан хэрэгтэй байна

Туннель нь түүний ард байгаа бүх хүнд ажиллаж, гарц нь тэдний урсгалыг дамжуулж байгаа ч машин өөрөө аюулгүй байдлын шинэчлэл суулгаж чадахгүй байна. Энэ бол асуудлын ердийн хэлбэр: дамжуулах зөвшөөрлийг клиентүүдэд өгсөн бөгөөд гарцын өөрийн гарах холболтууд төлөвлөгөөнд хэзээ ч ороогүй. Багцын менежер нь гарцаас өөрийн сокетуудыг нээж, галт ханын бодлогод хаана ч нэрлээгүй байх сан руу чиглэнэ.

Гарцыг түгжих нь зөв. Патч авахаа болих хэмжээнд чанга түгжих нь өөр шийдвэр бөгөөд ихэвчлэн санамсаргүй шийдвэр юм.

Локал гаралт нь клиентийн дамжуулалт биш

Дамжуулах дүрэм нь өөр газраас ирж гарцаар гарч буй пакетуудад хамаарна. Гарцын өөрийн шинэчлэлийн урсгал тэдгээрт хэзээ ч тохирохгүй; энэ нь локалд үүсч гарах замаар явна. Энэ ялгаа нь клиентийн хандалт төгс ажиллаж байхад боломжгүй мэт санагдах алдааг тайлбарлана.

Мөн шалгалтыг давах бодлогын цоорхойг тайлбарлана, учир нь туннелийн ард байгаа зөөврийн компьютерээс хийсэн хурдан шалгалт дамжуулах гинжин хэлхээ ажиллаж байгааг баталж, хост өөрийн холболтын талаар юу ч хэлэхгүй. Гарцыг хоёр субъект гэж үзээрэй: дамжуулах гинжин хэлхээтэй чиглүүлэгч ба гарах гинжин хэлхээтэй хост. Хоёулаанд байр суурь хэрэгтэй бөгөөд ихэвчлэн зөвхөн нэгийг нь бичдэг.

Амжилтгүй болсон үе шатыг нэрлэ

Шинэчлэлийн алдаа өөр өөр хил хязгаарыг нэрлэдэг бөгөөд аль нь амжилтгүй болсныг уншихаас өмнө портын дүрэм рүү хальтрах нь хагас өдөр үрэх юм. Шийдэгдэхгүй сангийн нэр нь resolver-ийн асуулт, тээврийн асуулт биш.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Амжилттай хайлтын дараах хугацаа дуусах нь асуултыг тээвэр рүү шилжүүлнэ: багцын менежер яг ямар хаяг, ямар порт, ямар тохируулсан проксийг оролдсон бэ. TLS шалгалтын алдаа нь гурав дахь, огт өөр зүйл бөгөөд холболт хэлэлцээр хийхэд хангалттай сайн ажилласан гэсэн үг. Архивын баталгаажуулалтын талаарх гомдол дөрөв дэх үе шат, бөгөөд энэ нь хүртээмж биш гарын үсэг зурсан мета өгөгдлийн тухай юм. Дөрвөн үе шат, дөрвөн өөр засвар, ping нь ямар ч багцын менежер ашигладаггүй ганц протоколыг л тодорхойлдог.

Дүрэм нэмэхийн өмнө эх сурвалжийн жагсаалтыг унш

Санаж байгаа биш бодит эх сурвалжийн URI болон үр дүнтэй прокси тохиргоог жагсаа. Энгийн HTTP-д зориулж бичсэн дүрэм эх сурвалж HTTPS байхад хэрэггүй, shell-ийн мэддэг прокси нь ачаалах үед өөр орчинтой эхэлсэн үйлчилгээнд үл үзэгдэх байж болно.

APT-ийн HTTP тээврийн баримт бичиг нь орчин болон APT-д хамаарах прокси тохиргоог, хостоор сонгохыг оруулан хамардаг бөгөөд түүний HTTPS тээвэр өөрийн шалгалтын тохиргоотой. Хөтчийн явдаг зам ба багцын менежерийн явдаг зам нь нэг машин дээр ч тусдаа зам юм.

Эх сурвалжууд ямар хаягийн бүлэг рүү шийдэгдэж байгааг анхаар. Зөвхөн IPv4-ийг зөвшөөрсөн дүрэм нь эх сурвалж нь AAAA бичлэгийг илүүд үздэг хост дээр үргэлжлүүлэн бүтэлгүйтэх бөгөөд алдаа нь аль хариу эхэлж ирснээс хамаардаг тул үе үе мэт харагдана.

Засварын нэг замыг сонгоод түүнээ баримтал

Хамгаалах боломжтой гурван сонголт байна: туннелээр дамжуулах засварын урсгал, удирдлагатай шинэчлэлийн проксигоор, эсвэл нарийн шууд үл хамаарах замаар. Нэгийг нь санаатайгаар сонгож, resolver-ийг түүнтэй санал нэгдүүл. Учир нь нэрс нэг тийш шийдэгдэж, холболтууд нөгөө тийш явдаг хуваагдал нь хэн ч тайлбарлаж чадахгүй алдаа үүсгэдэг.

Юу ч сонгосон, энэ нь хязгааргүй нөөц зам болох ёсгүй. Туннель унасан үед шууд гарах урсгал хориглосон бол бүхнийг чимээгүй зөвшөөрдөг засварын үл хамаарал нь засвар гэсэн дүр эсгэсэн бодлогын өөрчлөлт юм. Туннелийн өөрийн төгсгөлийн цэг болон bootstrap хэрэгцээг сангийн хандалтаас тусдаа ангилалд байлга, учир нь тэд өөр өөр газар руу чиглэж, өөр өөрөөр бүтэлгүйтдэг тул нэг үл хамаарал нөгөөг нь хамрахгүй.

Шалгалтыг сулруулахгүйгээр баталгаажуул

Хамрах хүрээг бодлогыг аль хэдийн эзэмшдэг галт ханын замаар хэрэгжүүл, нэг гарын авлага ашигласан учраас хоёр дахь менежер нэмэхийн оронд. Дараа нь хадгалагдаж буй бодлогын дор мета өгөгдлийн шинэчлэл болон нэг бодит багцын гүйлгээг ажиллуулж, гарах төлөв биш гарцыг унш.

Амжилттай тээвэр нь шалгалтыг сулруулах зөвшөөрөл биш. Архивын баталгаажуулалт ба TLS серверийн таних тэмдэг нь тусдаа баталгаа бөгөөд алдааг чимээгүй болгохын тулд аль нэгийг нь унтраах нь юунд итгэдгээ өөрчилнө, юунд хүрч чадахаа биш.

Туннельгүй тохиолдлыг санаатайгаар шалгаж дуусга. Гарц туннельгүйгээ хэрхэн ажиллахыг мэдэх нь зохиомжийн хэсэг, сааталтын үеэр үүнийг олж мэдэх нь биш. Туннелийг буулгаж, мета өгөгдлийн шинэчлэлийг ажиллуул, хост таны зорьсон аргаар бүтэлгүйтэж байгааг, чимээгүй нээлттэй зам руу эргэж орохгүй байгааг батал. Сан ба проксийн итгэмжлэлийг хуваалцсан оношлогооноос гадуур байлгаж, шинэчлэлийн замын эзэн хэн болохыг харуулсан тэмдэглэл үлдээ.