APT-hold eller oppgraderingsvei: rulle tilbake en VPN-klient

Klientoppdateringer bryter tunneler, eldre versjoner fortsetter å virke, og det etterlater to åpenbare råd. Det ene holder pakken der den er og venter på en rettelse; det andre går straks over til en støttet ordning. De er ikke like trygge, og ingen av dem er en vedlikeholdsstrategi uten en utgang. Sammenlign dem etter hva de faktisk fryser, før du velger.

To råd for én regresjon

Å holde en pakke beholder den fungerende versjonen installert og hindrer APT i å flytte den. Det kjøper tid, holder brukerne tilkoblet og lar den underliggende feilen være urørt. Å gå fremover betyr å finne den støttede utgivelsen som retter regresjonen, eller å bytte eieren av tilkoblingen til noe distribusjonen fortsatt vedlikeholder. Det koster mer arbeid på forhånd og fjerner den vedvarende risikoen.

Valget avhenger av tre fakta du bør ha før beslutningen: hvilken komponent som regredierte, om det finnes en rettet utgivelse, og hvor lenge den midlertidige tilstanden kan tolereres.

Fest feilen før du velger noen av dem

En kjerneoppdatering av NetworkManager, en VPN-plugin-oppdatering og en regresjon i en resolver-hjelper ser identiske ut fra brukerens plass og har forskjellige kandidater for tilbakerulling. Registrer de nøyaktige pakkene, versjonene og den første nye feilen.

apt-cache policy network-manager network-manager-openvpn
dpkg -l | grep -E 'network-manager|openvpn|wireguard'

Pakkemetadata kan være utdaterte når listene ikke er oppdatert, så les dem som et hint og bekreft dem mot den faktisk installerte versjonen. Ikke ta en målversjon fra et foruminnlegg; den samme versjonsstrengen fra en annen utgivelse kan bære et annet avhengighetssett.

Sammenlign hva et hold dekker

Et hold hindrer at en pakke blir automatisk installert, oppgradert eller fjernet. Men det fryser ikke avhengighetene, reparerer ikke en tilkobling og gjør ikke en gammel binærfil sikker. Det gapet er hele sammenligningen. Hvis regresjonen kom fra et bibliotek klienten er lenket mot, endrer holdet av klienten ingenting mens biblioteket fortsetter å bevege seg.

sudo apt-get -s install network-manager=1.42.4-1
apt-mark showhold

Simuler nedgraderingen først og les de foreslåtte endringene i sin helhet. En nedgradering som fjerner en avhengighet skrivebordet trenger, er en annen hendelse, og simuleringen er det billigste stedet å oppdage det. Hvis et hold virkelig er den riktige midlertidige grensen, skriv det som en beslutning med en eier, en begrunnelse og en betingelse for fjerning. Et hold uten eier blir permanent infrastruktur som ingen tør å røre.

Sammenlign utgangsveiene

Den fremoverrettede veien er en rettelse fra distribusjonen eller leverandøren, brukt etter at den er verifisert på en uavhengig tilkobling. Det holder systemet innenfor sin støttede oppdateringsstrøm og lukker eksponeringen. Migreringsveien erstatter klienten eller verten med noe distribusjonen fortsatt vedlikeholder. Det er mer arbeid og ofte det eneste ærlige svaret når den regredierte komponenten ikke har en rettet utgivelse i den utgivelsesgrenen.

sudo apt-mark unhold network-manager
sudo apt update
sudo apt full-upgrade

Uansett hvilken utgang du velger, verifiser den nøyaktige profilen, autentiseringsveien, rutene, DNS-oppførselen og gjenoppkoblingen før du erklærer det ferdig. En tunnel som kommer opp én gang, er ikke det samme som en som overlever dvale, et nettverksbytte og en omstart. Ta vare på feilbevisene for feilrapporten: pakkeversjoner, journalutdrag, profilstrukturen uten hemmeligheter. Legg aldri ved private nøkler eller legitimasjon for å gjøre en rapport mer fullstendig.

Hva journalen må inneholde

Skriv beslutningen på fire linjer: hva som regredierte, hva som ble holdt eller endret, hvem som eier den midlertidige tilstanden, og hva som fjerner den. Legg til verifiseringen du utførte, fordi den neste ingeniøren vil gjenta den.

Et hold med en utgangsdato er en styrt tilbakerullingsgrense. Et hold uten er en uforklart nedgradering som stille har blitt en del av infrastrukturen.