Il-bieb VPN tiegħek għadu jeħtieġ mod kif tinstalla l-aġġornamenti

Il-mina taħdem għal kulħadd warajha, il-bieb iħaddem it-traffiku tagħhom, u minkejja dan il-magna nnifisha ma tistax tinstalla aġġornament tas-sigurtà. Din hija l-forma tas-soltu tal-problema: il-permess tat-tqassim ingħata lill-klijenti, u l-konnessjonijiet ħierġa tal-bieb innifsu qatt ma tqiesu fil-pjan. Il-maniġer tal-pakketti jiftaħ is-sockets tiegħu stess, mill-bieb, lejn repożitorju li probabbilment qatt ma semmejt xi mkien fil-politika tal-firewall.

L-illokkjar ta' bieb huwa korrett. L-illokkjar tiegħu daqstant bir-reqqa li jieqaf jirċievi garżi hija deċiżjoni oħra, u normalment waħda aċċidentali.

Il-ħruġ lokali mhuwiex tqassim tal-klijenti

Ir-regoli tat-tqassim jirregolaw pakketti li jaslu minn x'imkien ieħor u joħorġu mill-bieb. It-traffiku tal-aġġornament tal-bieb innifsu qatt ma jaqbel magħhom; jiġi ġġenerat lokalment u jgħaddi mit-triq tal-ħruġ. Din id-distinzjoni tispjega ħsara li tidher impossibbli waqt li l-aċċess tal-klijenti jaħdem perfettament.

Tispjega wkoll vojt fil-politika li jgħaddi mill-testijiet, għax verifika mgħaġġla minn laptop wara l-mina turi li l-katina tat-tqassim taħdem u ma tgħid xejn dwar il-konnessjonijiet tal-host innifsu. Ittratta l-bieb bħala żewġ suġġetti: router b'katina tat-tqassim u host b'katina tal-ħruġ. It-tnejn jeħtieġu opinjoni, u normalment jinkiteb biss waħda minnhom.

Semmi l-istadju li falla

L-iżbalji tal-aġġornament isemmu fruntieri differenti, u li taqbad regola tal-port qabel ma taqra liema falliet tiswa wara nofsinhar. Isem ta' repożitorju li ma jiġix riżolt hija kwistjoni tar-resolver, mhux kwistjoni tat-trasport.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Time-out wara riżoluzzjoni b'suċċess iċaqlaq il-kwistjoni għat-trasport: liema indirizz, liema port u liema proxy konfigurat il-maniġer tal-pakketti fil-fatt ipprova. Falliment tal-verifika TLS huwa t-tielet ħaġa, kompletament differenti, u jfisser li l-konnessjoni ħadmet tajjeb biżżejjed biex tinnegozja. Ilment dwar l-awtentikazzjoni tal-arkivju huwa r-raba' stadju, u jikkonċerna metadejta ffirmata minflok l-aċċessibbiltà. Erba' stadji, erba' tiswijiet differenti, u ping dejjem jiddeskrivi biss protokoll wieħed li l-ebda maniġer tal-pakketti ma jużah.

Aqra l-lista tas-sorsi qabel ma żżid regola

Elenka l-URI reali tas-sorsi u l-konfigurazzjoni effettiva tal-proxy, mhux dawk li tiftakar. Regola miktuba għal HTTP sempliċi hija inutli meta s-sors huwa HTTPS, u proxy li l-shell jaf bih jista' jkun inviżibbli għal servizz mibdi fil-bidu b'ambjent differenti.

Id-dokumentazzjoni tat-trasport HTTP f'APT tkopri l-issettjar tal-proxy tal-ambjent u dawk speċifiċi għal APT, inklużi l-għażliet għal kull host, u t-trasport HTTPS tagħha għandu l-issettjar tal-verifika tiegħu stess. It-triq li jieħu browser u t-triq li jieħu l-maniġer tal-pakketti huma toroq separati, anki fuq l-istess magna.

Innota liema familji s-sorsi jiġu riżolti għalihom. Regola li tippermetti biss IPv4 se tkompli tfalli fuq host li s-sorsi tiegħu jippreferu rekord AAAA, u l-iżball jidher intermittenti għax jiddependi minn liema tweġiba tasal l-ewwel.

Agħżel triq waħda tal-manutenzjoni u żommha

Jeżistu tliet għażliet difendibbli: traffiku tal-manutenzjoni mill-mina, minn proxy tal-aġġornament immexxi, jew minn eċċezzjoni diretta dejqa. Agħżel waħda deliberatament u agħmel biex ir-resolver jaqbel, għax qasma fejn l-ismijiet jiġu riżolti b'mod u l-konnessjonijiet imorru b'mod ieħor tipproduċi ħsarat li ħadd ma jista' jispjega.

Tkun xi tkun l-għażla tiegħek, ma tistax issir rikors ta' riżerva mingħajr restrizzjoni. Jekk it-traffiku ħiereġ dirett huwa pprojbit meta l-mina tkun waqgħet, eċċezzjoni tal-manutenzjoni li tippermetti kollox bil-kwiet hija bidla fil-politika moħbija bħala tiswija. Żomm il-punt aħħari tal-mina nnifisha u l-ħtiġijiet tal-bootstrap f'kategorija separata mill-aċċess għar-repożitorji, għax jindikaw destinazzjonijiet differenti u jfallu b'modi differenti, u għalhekk eżenzjoni waħda ma tistax tkopri l-oħra.

Ivverifika mingħajr ma ddgħajjef il-verifiki

Applika l-ambitu mill-firewall li diġà għandu l-politika, minflok ma żżid manager ieħor għax gwida waħda użatu. Imbagħad mexxi aġġornament tal-metadejta u tranżazzjoni reali tal-pakketti taħt il-politika miżmuma, u aqra l-output minflok l-istat tal-ħruġ biss.

Trasport b'suċċess mhuwiex permess li ttaffi l-verifika. L-awtentikazzjoni tal-arkivju u l-identità tas-server TLS huma garanziji separati, u li tiddiżattiva waħda minnhom biex issikket żball tbiddel dak li tafda, mhux dak li tista' tilħaq.

Iffinalizza billi tittestja deliberatament il-każ mingħajr il-mina. Li tkun taf kif iġib ruħu l-bieb mingħajr il-mina tiegħu huwa parti mid-disinn, li tiskoprih waqt waqfa mhuwiex. Niżżel il-mina, mexxi l-aġġornament tal-metadejta u kkonferma li l-host ifalli bil-mod li ħsibt, minflok ma jaqa' bil-kwiet lura għal triq miftuħa. Żomm l-kredenzjali tar-repożitorji u tal-proxy barra mid-dijanjostiċi maqsuma u ħalli nota li ssemmi min għandu t-triq tal-aġġornament.