VPN paketi bez mreže: pitajte ciljnu mašinu šta joj treba

Potreban vam je VPN klijent da biste došli do mreže koja inače isporučuje njegove pakete, a to je lep mali začarani krug. Preuzimanje jednog OpenVPN DEB-a na drugoj mašini obično se završi drugom zavisnošću koja nedostaje, pa trećom, a onda celom večeri provedenom u juranju verzija biblioteka. Alternativa je da pustite isključenu mašinu da sama, svojim rečima, kaže šta treba njenom menadžeru paketa. Sve ispod sledi iz te zamene strana, odnosno iz toga ko pita.

Na sistemima iz Debian familije taj razgovor ide preko apt-offline, toka zahteva i vraćanja. Njegovo sopstveno okruženje za izvršavanje prvo mora postojati na cilju, instalirano sa odobrenog medija ili drugog bootstrap-a kojim upravlja administrator, jer nijedan alat ne može da se podigne iz ničega.

Počnite od stanja paketa cilja, ne od stanja pomoćnika

Zabeležite izdanje distribucije, arhitekturu korisničkog prostora i konfigurisane izvore paketa cilja pre svega ostalog. Te tri činjenice odlučuju koja VPN implementacija i koja integracija sa radnom površinom su odgovarajuće, a to su činjenice koje povezani pomoćnik ne može da pruži.

Pomoćnik preuzima fajlove; on ne postaje osnova zavisnosti. Noviji laptop na kome je OpenVPN već instaliran ima potpuno drugačije stanje paketa od cilja, pa njegov uspeh ništa ne dokazuje o tome šta cilj može da prihvati.

Odlučite i šta zapravo želite. VPN motor, dodatak usluge NetworkManager i grafički uređivač su odvojeni paketi, a ispravan izbor zavisi od izdanja i od toga kako će korisnik upravljati vezom. Server bez ekrana traži motor i konfiguracioni fajl; radna površina traži dodatak koji dozvoljava da njene mrežne postavke poseduju tunel. Zahtev za pogrešnim skupom daje instalaciju koja uspeva i vezu koju niko ne može da pokrene.

Dva povratna putovanja, ovim redom

Priručnik razdvaja tri operacije: napravite zahtev na isključenom sistemu, preuzmite na povezanom pomoćniku, uvezite nazad na cilj. Osvežite metapodatke repozitorijuma cilja pre traženja paketa, jer se zahtev za pakete gradi iz tih metapodataka, a zastareli indeksi daju zahteve koje pomoćnik ne može da ispuni.

Na cilju, administratorska komanda u obliku apt-offline set vpn-meta.sig --update zapisuje zahtev za osvežavanje. Odnesite taj fajl na povezanu mašinu i preuzmite snop pomoću apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Vratite snop i uvezite ga na cilju pomoću apt-offline install vpn-meta.zip, opet kao administrator.

Sada napravite zahtev za pakete iz osveženih metapodataka, na primer apt-offline set vpn-deps.sig --install-packages openvpn, i ponovite putovanje sa novim imenom snopa. Držite svaki zahtev u paru sa snopom koji je proizveo; snop napravljen prema starijim metapodacima nije isti zahtev, čak i kada imena fajlova izgledaju zamenljivo.

Dodajte pakete integracije samo kada dizajn to traži

Ako radna površina treba da upravlja tunelom preko svojih mrežnih postavki, zahtevu je potreban odgovarajući dodatak uz motor. Uključite konkretna imena paketa koja vaše izdanje nudi, a ne spisak zapamćen iz druge distribucije, i napravite novi zahtev kad god se spisak promeni. Zaključavanje verzija takođe zaslužuje razmišljanje: paket napravljen za novije izdanje može da zadovolji ime i ipak ne uspe pri izvršavanju. Tu fiksni skup od četiri paketa postaje teret, jer je ispravan spisak svojstvo cilja i samo cilj može da ga izračuna.

Tu i fiksni skup od četiri paketa postaje teret. Ispravan spisak je svojstvo cilja, a cilj je jedina mašina koja može da ga ispravno izračuna.

Uvoz snopa nije instalacija VPN-a

Uprkos imenu, operacija instalacije samo polaže APT podatke u okruženje za upravljanje paketima. Ona ne obavlja transakciju paketa. Dovršite i pregledajte stvarnu APT instalaciju na cilju iz lokalno dostavljenih podataka, i čitajte izlaz umesto da pretpostavite da uspeh ZIP-a znači da je softver prisutan.

Ako ta transakcija i dalje traži nedostupne fajlove, sačuvajte konkretnu zavisnost koja nedostaje ili grešku repozitorijuma i iz nje napravite sledeći zahtev. Ne zamenjujte DEB iz drugog izdanja i ne isključujte provere kontrolnog zbira ili autentifikaciju repozitorijuma da biste ga progurali. Priručnik izričito upozorava protiv preskakanja provere preuzetih fajlova, i s pravom: neproveren paket je gori ishod od neuspele instalacije.

Paketi su samo prva polovina

Instalacija softvera odvojena je od pribavljanja odobrene krajnje tačke, profila, materijala poverenja i akreditiva, od kojih svaki može imati sopstvenu kontrolisanu predaju. Radni skup paketa bez važećeg profila ne povezuje se ni sa čim.

Zatim održavajte offline put prenosa živim za buduća ažuriranja. Tretirati prvo uspešno povezivanje kao kraj održavanja znači da sledeće bezbednosno ažuriranje čeka dok neko s kolima ne može da dođe, i tako mreža bez pristupa tiho zaostaje godinama.