Actualizarea gateway-ului VPN eșuează: citește etapa înainte de a deschide ieșirea
O actualizare eșuată numește o etapă, nu un port lipsă. Asociază mesajul proprietarului său, citește calea proxy și apoi decide politica de întreținere în cunoștință de cauză.
Refuzul de a instala actualizările de securitate este la o săptămână proastă de a deveni problema altcuiva, iar un gateway care admite clienți este locul cel mai ușor pentru a dezvolta acest obicei. Cauza obișnuită nu este o rută lipsă, ci o decizie lipsă: nimeni nu a spus cum trebuie hostul însuși să ajungă la un depozit atunci când redirecționarea clienților este în mod deliberat îngustă. Acea decizie trebuie luată explicit și trebuie să fie mai îngustă decât dezactivarea politicii de ieșire pentru o după-amiază.
Patru etape, patru proprietari diferiți
O eroare de actualizare este o etapă numită, indiferent dacă mesajul o spune sau nu, iar fiecare etapă aparține unui alt proprietar. Un nume care nu se rezolvă este o chestiune a rezolvatorului. O conexiune care expiră este o chestiune a transportului, a proxy-ului sau a capătului îndepărtat. O eroare de identitate TLS este o chestiune de încredere, iar metadatele de arhivă respinse sunt o chestiune de semnătură. Patru etape, patru proprietari, iar o regulă de port răspunde întotdeauna doar la una dintre ele.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping și rezolvarea numelor sunt cele două teste la care oamenii apelează mai întâi, iar ambele răspund la întrebări pe care nimeni nu le-a pus. Un răspuns echo folosește un alt protocol decât conexiunea la depozit, iar o căutare reușită se oprește la rezolvarea numelor fără a testa recuperarea. Oricare dintre ele poate trece în timp ce tranzacția reală eșuează și oricare poate eșua din motive care nu au legătură cu calea.
Citește calea pe care o ia de fapt managerul
Inspectează URI-urile sursă configurate și aranjamentul efectiv al proxy-ului în loc să presupui vreunul dintre ele. O regulă scrisă pentru HTTP simplu nu este o reparație atunci când depozitul vorbește HTTPS, iar o organizație care impune un proxy a ales deja calea. Managerii de pachete respectă variabilele de mediu și propria configurație, iar setările specifice hostului pot suprascrie una globală. Ce face un browser interactiv nu trebuie să fie ce face managerul.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyDocumentația transportului APT descrie ce setări se aplică fiecărei scheme URI și cum se scriu alegerile specifice hostului. Păstrează ieșirea comenzilor împreună cu tichetul, pentru că separă o problemă de proxy de o rută lipsă mai repede decât orice număr de rezultate ping. Notează destinația, portul și protocolul exacte pe care le încearcă managerul și lasă modificarea firewall-ului să se bazeze pe acea înregistrare, nu pe o adresă de oglindă presupusă care devine învechită în câteva luni.
Alege o politică de întreținere, nu o excepție
Trei politici sunt defendabile: întreținerea prin tunel, întreținerea printr-un proxy de actualizare gestionat sau întreținerea printr-o rută directă autorizată strict. Fiecare implică un aranjament al rezolvatorului care i se potrivește. Ceea ce nu este defendabil este o excepție care devine în tăcere o soluție de rezervă nelimitată ori de câte ori tunelul cade.
Notează politica aleasă împreună cu un proprietar, pentru că următorul operator va găsi regula și nu raționamentul din spatele ei. Aplică permisiunea prin firewall-ul existent și prin proprietarul rețelei, în loc să golești reguli sau să adaugi un al doilea manager de politici pentru un singur host. Acoperă familiile de adrese și punctele finale de serviciu pe care le folosește sursa reală și revizuiește lista atunci când depozitul se mută.
Verifică fără a slăbi încrederea
Un transport reușit nu este permisiunea de a relaxa verificarea: autentificarea arhivei și identitatea serverului TLS sunt două verificări distincte, iar dezactivarea oricăreia face o eroare să dispară schimbând ceea ce va accepta hostul. Un proxy care interceptează este o decizie de încredere a proprietarului rețelei, nu un motiv de a opri verificarea local, iar acreditările depozitului nu au ce căuta în diagnostice partajate, pentru că un jurnal detaliat este locul cel mai ușor de unde pot scăpa.
Acceptă modificarea cu o recuperare controlată de metadate urmată de o tranzacție de pachete aprobată, apoi testează ce se întâmplă când tunelul cade. O cale de întreținere care se lărgește în tăcere în timpul unei întreruperi este mai rea decât una care eșuează închis, iar rezultatul ar trebui să fie o cale de actualizare cu un proprietar numit și un domeniu limitat.