VPN-gatewayen din treng framleis ein måte å installere oppdateringar på

Tunnelen fungerer for alle bak han, gatewayen sender trafikken deira vidare, og likevel kan maskinen sjølv ikkje installere ei tryggleiksoppdatering. Dette er den vanlege forma på problemet: videresendingsløyvet vart gjeve til klientane, og gatewayen sine eigne utgåande samband vart aldri tekne med i planen. Pakkehandsamaren opnar sine eigne soklar, frå gatewayen, til eit depot du truleg ikkje har namngjeve nokon stad i brannmurpolitikken.

Det er rett å låse ned ein gateway. Å låse han så grundig ned at han sluttar å ta imot oppdateringar, er eit anna val, og vanlegvis eit tilfeldig eit.

Lokal utgang er ikkje klientvideresending

Videresendingsreglar gjeld pakkar som kjem frå ein annan stad og går ut gjennom gatewayen. Gatewayen sin eigen oppdateringstrafikk treffer dei aldri; han vert generert lokalt og går gjennom utgangsvegen. Den skilnaden forklarer ein feil som verkar umogleg medan klienttilgangen fungerer perfekt.

Han forklarer òg eit hol i politikken som overlever testing, fordi ein rask sjekk frå ein berbar PC bak tunnelen beviser at videresendingskjeda fungerer og ikkje seier noko om verten sine eigne samband. Handsame gatewayen som to subjekt: ein ruttar med ei videresendingskjede og ein vert med ei utgangskjede. Begge treng ei meining, og vanlegvis vert berre éi skriven ned.

Namngje steget som feila

Oppdateringsfeil namngjev ulike grenser, og å gripe etter ein portregel før du les kva som feila kostar ein ettermiddag. Eit depotnamn som ikkje løyser seg er eit resolver-spørsmål, ikkje eit transportspørsmål.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Ein timeout etter eit vellukka oppslag flyttar spørsmålet til transport: kva adresse, kva port og kva konfigurert proxy pakkehandsamaren faktisk prøvde. Ein TLS-verifiseringsfeil er noko heilt anna, og det tyder at sambandet fungerte godt nok til å forhandle. Ei klage på arkivautentisering er det fjerde steget, og ho handlar om signerte metadata snarare enn nåbarheit. Fire steg, fire ulike reparasjonar, og ein ping skildrar alltid berre éin protokoll som ingen pakkehandsamar brukar.

Les kjeldelista før du legg til ein regel

List opp dei faktiske kjelde-URI-ane og den effektive proxykonfigurasjonen i staden for dei du hugsar. Ein regel skriven for vanleg HTTP er ubrukeleg når kjelda er HTTPS, og ein proxy som skalet kjenner kan vere usynleg for ein teneste som startar ved oppstart med eit anna miljø.

APT sin dokumentasjon av HTTP-transport dekkjer miljø- og APT-spesifikke proxyinnstillingar, inkludert val per vert, og HTTPS-transporten hans har eigne verifiseringsinnstillingar. Vegen ein nettlesar tek og vegen pakkehandsamaren tek er skilde vegar, sjølv på same maskin.

Legg merke til kva adressefamiliar kjeldene løyser seg til. Ein regel som berre tillèt IPv4 vil halde fram med å feile på ein vert der kjeldene føretrekkjer ein AAAA-post, og feilen verkar periodisk fordi han er avhengig av kva svar som kjem først.

Vel éin vedlikehaldsveg og hald deg til han

Tre forsvarlege alternativ finst: vedlikehaldstrafikk gjennom tunnelen, gjennom ein administrert oppdateringsproxy eller gjennom eit smalt direkte unntak. Vel eitt medvite og sørg for at resolveren er samd, fordi ei deling der namn løyser seg éin veg og samband går ein annan stad skapar feil ingen kan forklare.

Kva du enn vel, må det ikkje bli ei ubegrensa reserveløysing. Viss direkte utgåande trafikk er forbode når tunnelen er nede, er eit vedlikehaldsunntak som stille tillèt alt ei policyendring forkledd som ei retting. Hald sjølve endepunktet til tunnelen og bootstrap-behova i ein eigen kategori frå depotåtkomst, fordi dei peikar på ulike mål og feilar på ulike måtar, så eitt unntak kan ikkje dekkje det andre.

Verifiser utan å svekkje kontrollane

Bruk omfanget gjennom brannmuren som alt eig politikken, i staden for å leggje til ein annan handsamar fordi ein rettleiar brukte han. Køyr deretter ei metadataoppdatering og éi verkeleg pakketransaksjon under den vedlikehaldne politikken, og les utdata i staden for berre utgangsstatusen.

Vellukka transport er ikkje løyve til å lempe på verifiseringa. Arkivautentisering og identiteten til TLS-tenaren er skilde garantiar, og å slå av ein av dei for å dempe ein feil endrar kva du stolar på, ikkje kva du kan nå.

Avslutt med å teste tilfellet utan tunnel medvite. Å vite korleis gatewayen oppfører seg utan tunnelen sin er ein del av designet, å oppdage det under eit avbrot er det ikkje. Ta tunnelen ned, køyr metadataoppdateringa og stadfest at verten feilar på den måten du hadde tenkt i staden for å falle stille tilbake til ein open veg. Hald depot- og proxy-legitimasjon unna delte diagnostikkar, og legg att eit notat som namngjev kven som eig oppdateringsvegen.