VPN-pakkar utan nett: Spør målmaskina kva ho treng

Du treng VPN-klienten for å nå nettverket som vanlegvis leverer pakkane hans, og det er ein fin liten sirkel. Å laste ned éin OpenVPN-DEB på ei anna maskin endar vanlegvis med ein ny manglande avhengigheit, så ein tredje, og så ein heil kveld med å jage bibliotekversjonar. Alternativet er å la den fråkopla maskina seie, på sine eigne premissar, kva pakkehandsamaren hennar treng. Alt nedanfor følgjer av at det er ho som blir spurd.

For system i Debian-familien går den samtalen gjennom apt-offline, eit arbeidsflyt med førespurnad og retur. Sjølve køyretidsmiljøet må finnast på målet først, installert frå godkjend medie eller ein annan bootstrap som administratoren styrer, fordi ingen verktøy kan starte seg sjølv frå ingenting.

Start med pakketilstanden til målet, ikkje til hjelparen

Registrer distribusjonsutgåva, brukarromsarkitekturen og dei konfigurerte pakkekjeldene til målet før noko anna. Dei tre fakta avgjer kva VPN-implementasjon og kva skrivebordsintegrasjon som passar, og dei er fakta ein tilkopla hjelpar ikkje kan levere.

Hjelparen lastar ned filer; han blir ikkje avhengigheitsgrunnlaget. Ein nyare berbar maskin som allereie har OpenVPN installert, har ein heilt annan pakketilstand enn målet, så suksessen seier ingenting om kva målet kan godta.

Avgjer òg kva du faktisk vil ha. VPN-motoren, ein NetworkManager-tenesteplugin og ein grafisk editor er separate pakkar, og det rette valet avheng av utgåva og av korleis brukaren vil handsame tilkoplinga. Ein hovudlaus tenar treng motoren og ei konfigurasjonsfil; eit skrivebord treng plugin-modulen som lèt nettverksinnstillingane eige tunnelen. Å be om feil sett gir ein installasjon som lukkast og ei tilkopling ingen kan starte.

To rundturar, i denne rekkjefølgja

Handboka skil tre operasjonar: lag ein førespurnad på det fråkopla systemet, last ned på ein tilkopla hjelpar, importer tilbake på målet. Oppdater repositoriemetadataen til målet før du ber om pakkar, fordi pakkeførespurnaden blir bygd frå den metadataen, og gamle indeksar gir førespurnader hjelparen ikkje kan oppfylle.

På målet skriv ein administratorkommando i forma apt-offline set vpn-meta.sig --update oppdateringsførespurnaden. Ta fila med til den tilkopla maskina og last ned ein bunt med apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Ta bunten tilbake og importer han på målet med apt-offline install vpn-meta.zip, igjen som administrator.

Lag no pakkeførespurnaden frå oppdatert metadata, til dømes apt-offline set vpn-deps.sig --install-packages openvpn, og gjenta turen med eit nytt buntenamn. Hald kvar førespurnad saman med bunten han produserte; ein bunt laga mot eldre metadata er ikkje den same førespurnaden, sjølv når filnamna ser ut til å kunne bytast om.

Legg til integrasjonspakkane berre når designet treng dei

Viss skrivebordet skal handsame tunnelen gjennom nettverksinnstillingane, treng førespurnaden den samsvarande plugin-modulen i tillegg til motoren. Ta med dei konkrete pakkenamna utgåva di tilbyr i staden for ei liste du hugsar frå ein annan distribusjon, og lag ein ny førespurnad kvar gong lista endrar seg. Versjonsfastlåsing fortener òg ein tanke: ein pakke bygd for ei nyare utgåve kan oppfylle namnet og likevel feile under køyring. Det er her eit fast sett på fire pakkar blir ei byrde, fordi den rette lista er ein eigenskap ved målet, og berre målet kan rekne henne ut.

Det er òg her eit fast sett på fire pakkar blir ei byrde. Den rette lista er ein eigenskap ved målet, og målet er den einaste maskina som kan rekne henne ut rett.

Å importere ein bunt er ikkje å installere VPN-en

Trass i namnet legg installasjonsoperasjonen APT-data inn i pakkeadministrasjonsmiljøet. Han utfører ikkje pakketransaksjonen. Fullfør og gå gjennom den faktiske APT-installasjonen til målet frå dataa som er leverte lokalt, og les utdataa i staden for å gå ut frå at suksessen til ZIP-en betyr at programvara er der.

Viss den transaksjonen framleis ber om utilgjengelege filer, ta vare på den konkrete manglande avhengigheita eller repositoriefeilen og lag den neste førespurnaden frå han. Ikkje byt inn ein DEB frå ei anna utgåve, og ikkje slå av sjekksum- eller repositorieautentisering for å tvinge han gjennom. Handboka åtvarar eksplisitt mot å hoppe over verifisering av nedlasta filer, og med god grunn: ein uverifisert pakke er eit verre utfall enn ein mislukka installasjon.

Pakkane er berre første halvdel

Å installere programvare er skilt frå å skaffe det godkjende endepunktet, profilen, tillitsmaterialet og påloggingsinformasjonen, som kvar kan ha si eiga kontrollerte overlevering. Eit fungerande pakkesett utan ein gyldig profil koplar til ingenting.

Hald deretter den fråkopla overføringsvegen i live for framtidige oppdateringar. Å handsame den første vellukka tilkoplinga som slutten på vedlikehaldet betyr at den neste sikkerheitsoppdateringa ventar til nokon med bil kan kome innom, og det er slik eit fråkopla nettverk stille hamnar år bak.