L-aġġornament tal-gateway VPN ifalli: aqra l-istadju qabel ma tiftaħ il-ħruġ
Aġġornament li jfalli jsemmi stadju, mhux port nieqes. Qabbel il-messaġġ ma’ sidu, aqra t-triq tal-proxy, u mbagħad iddeċiedi l-politika tal-manutenzjoni b’għan.
Li tirrifjuta li tinstalla aġġornamenti tas-sigurtà hija biss ġimgħa ħażina ’il bogħod milli ssir il-problema ta’ xi ħadd ieħor, u gateway li jdaħħal il-klijenti huwa l-eħfef post biex tiżviluppa din id-drawwa. Il-kawża tas-soltu mhix rotta nieqsa iżda deċiżjoni nieqsa: ħadd ma qal kif il-host innifsu għandu jasal għal repożitorju meta l-ibgħit tal-klijenti huwa apposta dejjaq. Dik id-deċiżjoni trid tittieħed b’mod espliċitu, u trid tkun idjaq milli titfi l-politika tal-ħruġ għal wara nofsinhar.
Erba’ stadji, erba’ sidien differenti
Falliment ta’ aġġornament huwa stadju msemmi, kemm jekk il-messaġġ jgħid hekk kif ukoll jekk le, u kull stadju jappartjeni lil sid differenti. Isem li ma jiġix solvut hija kwistjoni tar-resolver. Konnessjoni li tilħaq il-limitu ta’ żmien hija kwistjoni tat-trasport, tal-proxy jew tat-tarf imbiegħed. Żball tal-identità TLS hija kwistjoni ta’ fiduċja, u metadejta tal-arkivju miċħuda hija kwistjoni ta’ firma. Erba’ stadji, erba’ sidien, u regola tal-port dejjem twieġeb waħda biss minnhom.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping u riżoluzzjoni tal-ismijiet huma ż-żewġ testijiet li n-nies jużaw l-ewwel, u t-tnejn iwieġbu mistoqsijiet li ħadd ma għamel. Tweġiba echo tuża protokoll differenti mill-konnessjoni mar-repożitorju, u tfittxija li tirnexxi tieqaf fir-riżoluzzjoni tal-ismijiet mingħajr ma tittestja l-irkupru. It-tnejn jistgħu jgħaddu waqt li t-tranżazzjoni vera tfalli, u t-tnejn jistgħu jfallu għal raġunijiet li m’għandhomx x’jaqsmu mat-triq.
Aqra t-triq li l-maniġer fil-fatt jieħu
Spezzjona l-URI tas-sors konfigurati u l-arranġament effettiv tal-proxy minflok ma tassumi wieħed minnhom. Regola miktuba għal HTTP sempliċi mhix tiswija meta r-repożitorju jitkellem HTTPS, u organizzazzjoni li timponi proxy diġà għażlet it-triq. Il-maniġers tal-pakketti jirrispettaw il-varjabbli tal-ambjent u l-konfigurazzjoni tagħhom stess, u l-issettjar speċifiċi għall-host jistgħu jieħdu post wieħed globali. Dak li jagħmel browser interattiv m’għandux għalfejn ikun dak li jagħmel il-maniġer.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyId-dokumentazzjoni tat-trasport APT tiddeskrivi liema issettjar japplikaw għal liema skema URI u kif jinkitbu l-għażliet speċifiċi għall-host. Żomm l-output tal-kmandi mat-ticket, għax jifred problema tal-proxy minn rotta nieqsa aktar malajr minn kwalunkwe numru ta’ riżultati tal-ping. Ikteb id-destinazzjoni, il-port u l-protokoll eżatti li l-maniġer jipprova, u ħalli l-bidla fil-firewall tistrieħ fuq dak ir-rekord minflok fuq indirizz tal-mera maħsub li jsir skadut fi ftit xhur.
Agħżel politika ta’ manutenzjoni, mhux eċċezzjoni
Tliet politiki huma difendibbli: manutenzjoni permezz tat-tunnel, manutenzjoni permezz ta’ proxy tal-aġġornamenti maniġġjat, jew manutenzjoni permezz ta’ rotta diretta awtorizzata b’mod dejjaq. Kull waħda timplika arranġament tar-resolver li jaqbel magħha. Dak li mhuwiex difendibbli hija eċċezzjoni li bil-kwiet issir rikors bla limiti kull darba li t-tunnel jinżel.
Ikteb il-politika magħżula ma’ sid, għax l-operatur li jmiss se jsib ir-regola u mhux ir-raġunament warajha. Applika l-permess permezz tal-firewall eżistenti u s-sid tan-netwerk minflok ma tħott regoli jew iżżid it-tieni maniġer tal-politika għal host wieħed. Kopri l-familji tal-indirizzi u l-punti tas-servizz li juża s-sors veru, u erġa’ ara l-lista meta r-repożitorju jmur.
Ivverifika mingħajr ma tiddgħajjef il-fiduċja
Trasport li jirnexxi mhux permess biex tittaffa l-verifika: l-awtentikazzjoni tal-arkivju u l-identità tas-server TLS huma żewġ kontrolli distinti, u li tiddiżattiva waħda minnhom ittajjar żball filwaqt li tbiddel dak li l-host se jaċċetta. Proxy li jinterċetta hija deċiżjoni ta’ fiduċja tas-sid tan-netwerk u mhux raġuni biex titfi l-kontroll lokalment, u l-kredenzjali tar-repożitorju m’għandhomx ikunu fid-dijanjostika maqsuma, għax log dettaljat huwa l-eħfef post biex jitilqu.
Aċċetta l-bidla b’irkupru kkontrollat tal-metadejta segwit minn tranżazzjoni tal-pakkett approvata waħda, imbagħad iġġarrab x’jiġri meta t-tunnel jaqa’. Triq tal-manutenzjoni li bil-kwiet tinfirex waqt interruzzjoni hija agħar minn waħda li tfalli magħluqa, u r-riżultat għandu jkun triq tal-aġġornamenti b’sid imsemmi u ambitu limitat.