Oppdatering av VPN-gatewayen mislukkast: les trinnet før du opnar utgangen
Ei mislukka oppdatering namngjev eit trinn, ikkje ein manglande port. Kople meldinga til eigaren, les proxybana og avgjer deretter vedlikehaldspolitikken med vilje.
Å nekte å installere tryggleiksoppdateringar er berre éi dårleg veke unna å bli nokon annan sitt problem, og ein gateway som slepp inn klientar er den enklaste staden å utvikle den vanen. Den vanlege årsaka er ikkje ei manglande rute, men eit manglande vedtak: ingen har sagt korleis verten sjølv skal nå eit depot når vidaresending av klientar med vilje er smal. Det vedtaket må takast uttrykkeleg, og det må vere smalare enn å slå av utgangspolitikken ein ettermiddag.
Fire trinn, fire ulike eigarar
Ein oppdateringsfeil er eit namngjeve trinn, anten meldinga seier det eller ikkje, og kvart trinn høyrer til ein ulik eigar. Eit namn som ikkje let seg slå opp, er eit spørsmål for oppløysaren. Ei tilkopling som får tidsavbrot, er eit spørsmål for transport, proxy eller den andre enden. Ein TLS-identitetsfeil er eit tillitsspørsmål, og avviste arkivmetadata er eit signaturspørsmål. Fire trinn, fire eigarar, og ein portregel svarar alltid berre på éin av dei.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping og namneoppslag er dei to testane folk grip til først, og begge svarar på spørsmål ingen stilte. Eit ekkosvar brukar ein annan protokoll enn depotforbindinga, og eit vellukka oppslag stoppar ved namneoppslag utan å teste hentinga. Begge kan bestå medan den faktiske transaksjonen feilar, og begge kan feile av grunnar som ikkje har noko med bana å gjere.
Les bana pakkehandsamaren faktisk tek
Undersøk dei konfigurerte kjelde-URI-ane og den faktiske proxyordninga i staden for å anta ein av dei. Ein regel skriven for vanleg HTTP er ikkje ein reparasjon når depotet snakkar HTTPS, og ein organisasjon som krev proxy, har allereie valt bana. Pakkehandsamarar respekterer miljøvariablar og si eiga konfigurasjon, og vertsspesifikke innstillingar kan overstyre ein global. Det ein interaktiv nettlesar gjer, treng ikkje vere det pakkehandsamaren gjer.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT-transportdokumentasjonen skildrar kva innstillingar som gjeld for kva URI-skjema, og korleis vertsspesifikke val blir skrivne. Ta vare på kommandoutskrifta saman med saka, for ho skil eit proxyproblem frå ei manglande rute raskare enn noka mengd pingresultat. Skriv ned nøyaktig destinasjon, port og protokoll som pakkehandsamaren freistar, og la brannmur-endringa kvile på den registreringa i staden for på ei gjeta spegladresse som blir utdatert i løpet av månader.
Vel ein vedlikehaldspolitikk, ikkje eit unntak
Tre politikkar er forsvarlege: vedlikehalde gjennom tunnelen, vedlikehalde gjennom ein administrert oppdateringsproxy eller vedlikehalde gjennom ei smalt autorisert direkte rute. Kvar av dei føreset ei oppløysarordning som passar til henne. Det som ikkje er forsvarleg, er eit unntak som stille blir ein ubegrensa reserveveg kvar gong tunnelen er nede.
Skriv ned den valde politikken med ein eigar, for den neste operatøren finn regelen og ikkje grunngjevinga bak han. Bruk løyvet gjennom den eksisterande brannmuren og netteigaren i staden for å tømme reglar eller leggje til ein annan politikkhandsamar for éin vert. Dekk adressefamiliane og tenestesluttpunkta den verkelege kjelda brukar, og gå gjennom lista når depotet flyttar.
Stadfest utan å svekke tilliten
Vellukka transport er ikkje løyve til å lempe på stadfestinga: arkivautentisering og TLS-tenaridentitet er to ulike kontrollar, og å slå av ein av dei får ein feil til å forsvinne samtidig som det endrar kva verten vil godta. Ein avlyttande proxy er eit tillitsvedtak frå netteigaren og ikkje ein grunn til å slå av kontrollen lokalt, og depotinnlogging høyrer ikkje heime i delt diagnostikk, fordi ein detaljert logg er den enklaste staden å lekke dei.
Godta endringa med ein kontrollert metadatahenting etterfølgd av éin godkjend pakketransaksjon, og test deretter kva som skjer når tunnelen fell. Ei vedlikehaldsbane som stille blir utvida under eit avbrot, er verre enn ei som feilar lukka, og resultatet bør vere ei oppdateringsbane med ein namngjeven eigar og eit avgrensa omfang.