APT-vasthouding of upgradepad: een VPN-client terugdraaien

Clientupdates breken tunnels, oudere versies blijven werken, en dat laat twee voor de hand liggende remedies. De ene houdt het pakket waar het is en wacht op een correctie; de andere gaat meteen over naar een ondersteunde opzet. Ze zijn niet even veilig, en geen van beide is een onderhoudsstrategie zonder uitweg. Vergelijk ze op wat ze werkelijk bevriezen voordat je kiest.

Twee remedies voor één regressie

Een pakket vasthouden houdt de werkende versie geïnstalleerd en verhindert dat APT hem verplaatst. Het koopt tijd, houdt gebruikers verbonden en laat de onderliggende fout ongemoeid. Vooruitgaan betekent de ondersteunde release vinden die de regressie verhelpt, of de eigenaar van de verbinding vervangen door iets dat de distributie nog onderhoudt. Dat kost meer werk vooraf en neemt het blijvende risico weg.

De keuze hangt af van drie feiten die je voor de beslissing moet hebben: welk onderdeel is geregresseerd, of er een gecorrigeerde release bestaat, en hoe lang de tijdelijke toestand kan worden verdragen.

Leg de storing vast voordat je een van beide kiest

Een kernupdate van NetworkManager, een VPN-plug-inupdate en een regressie van een resolver-hulp lijken identiek vanuit de stoel van de gebruiker en hebben verschillende terugdraaikandidaten. Leg de exacte pakketten, versies en de eerste nieuwe fout vast.

apt-cache policy network-manager network-manager-openvpn
dpkg -l | grep -E 'network-manager|openvpn|wireguard'

Pakketmetadata kan verouderd zijn als de lijsten niet zijn vernieuwd, dus lees ze als een aanwijzing en bevestig ze tegen de werkelijk geïnstalleerde versie. Neem geen doelversie over uit een forumbericht; dezelfde versiereeks uit een andere release kan een andere set afhankelijkheden dragen.

Vergelijk wat een vasthouding dekt

Een vasthouding voorkomt dat een pakket automatisch wordt geïnstalleerd, opgewaardeerd of verwijderd. Maar ze bevriest de afhankelijkheden niet, repareert geen verbinding en maakt een oude binary niet veilig. Dat gat is de hele vergelijking. Als de regressie uit een bibliotheek kwam waartegen de client linkt, verandert het vasthouden van de client niets terwijl de bibliotheek blijft bewegen.

sudo apt-get -s install network-manager=1.42.4-1
apt-mark showhold

Simuleer eerst de downgrade en lees de voorgestelde wijzigingen volledig. Een downgrade die een afhankelijkheid verwijdert die de desktop nodig heeft, is een ander incident, en de simulatie is de goedkoopste plek om dat te ontdekken. Als een vasthouding echt de juiste tijdelijke grens is, schrijf haar dan op als een beslissing met een eigenaar, een reden en een voorwaarde voor verwijdering. Een vasthouding zonder eigenaar wordt permanente infrastructuur die niemand durft aan te raken.

Vergelijk de uitwegen

Het voorwaartse pad is een correctie van de distributie of de leverancier, toegepast nadat die op een onafhankelijke verbinding is geverifieerd. Dat houdt het systeem binnen zijn ondersteunde updatestroom en sluit de blootstelling. Het migratiepad vervangt de client of de host door iets dat de distributie nog onderhoudt. Het is meer werk en vaak het enige eerlijke antwoord wanneer het geregresseerde onderdeel in die release-tak geen gecorrigeerde release heeft.

sudo apt-mark unhold network-manager
sudo apt update
sudo apt full-upgrade

Welke uitweg je ook kiest, verifieer het exacte profiel, het authenticatiepad, de routes, het DNS-gedrag en het opnieuw verbinden voordat je het af verklaart. Een tunnel die één keer omhoog komt is niet hetzelfde als een die sluimerstand, een netwerkwijziging en een herstart overleeft. Bewaar het bewijs van de storing voor het bugrapport: pakketversies, journalextracten, de profielstructuur zonder geheimen. Voeg nooit privésleutels of inloggegevens toe om een rapport vollediger te maken.

Wat het verslag moet bevatten

Schrijf de beslissing in vier regels: wat is geregresseerd, wat is vastgehouden of gewijzigd, wie bezit de tijdelijke toestand en wat haalt die weg. Voeg de verificatie toe die je hebt uitgevoerd, omdat de volgende engineer die zal herhalen.

Een vasthouding met een uitgangsdatum is een beheerde terugdraaigrens. Een vasthouding zonder is een onverklaarde downgrade die stilzwijgend deel van de infrastructuur is geworden.