Offline balíky VPN: spýtajte sa cieľového stroja, čo potrebuje

Klient VPN potrebuje dosiahnuť sieť, ktorá bežne dodáva jeho balíky, a to je pekný malý kruh. Stiahnutie jedného DEB balíka OpenVPN na inom stroji zvyčajne skončí druhou chýbajúcou závislosťou, potom treťou, a potom večerom stráveným naháňaním verzií knižníc. Alternatívou je nechať odpojený stroj, aby vlastnými slovami povedal, čo potrebuje jeho správca balíkov. Všetko nižšie vyplýva z tejto výmeny strán, teda z toho, kto sa pýta.

V systémoch rodiny Debian prebieha ten rozhovor cez apt-offline, postup požiadavky a návratu. Jeho vlastné runtime musí byť najprv prítomné na cieli, nainštalované zo schváleného média alebo iného bootstrapu spravovaného administrátorom, pretože žiadny nástroj sa nedokáže naštartovať z ničoho.

Začnite stavom balíkov cieľa, nie pomocníka

Pred čímkoľvek iným zaznamenajte vydanie distribúcie, architektúru používateľského priestoru a nakonfigurované zdroje balíkov cieľa. Tieto tri fakty rozhodujú, ktorá implementácia VPN a ktorá integrácia s pracovnou plochou sú vhodné, a sú to fakty, ktoré pripojený pomocník nedokáže dodať.

Pomocník sťahuje súbory; nestáva sa základom závislostí. Novší notebook, na ktorom je OpenVPN už nainštalované, má úplne iný stav balíkov ako cieľ, takže jeho úspech nič nedokazuje o tom, čo cieľ dokáže prijať.

Rozhodnite aj o tom, čo vlastne chcete. Engine VPN, plugin služby NetworkManager a grafický editor sú samostatné balíky a správna voľba závisí od vydania a od toho, ako bude používateľ spravovať pripojenie. Server bez hlavy potrebuje engine a konfiguračný súbor; pracovná plocha potrebuje plugin, ktorý dovoľuje jej sieťovým nastaveniam vlastniť tunel. Požiadanie o nesprávnu množinu dáva inštaláciu, ktorá uspeje, a pripojenie, ktoré nikto nedokáže spustiť.

Dve cesty tam a späť, v tomto poradí

Príručka oddeľuje tri operácie: vygenerujte požiadavku na odpojenom systéme, stiahnite na pripojenom pomocníkovi, importujte späť na cieli. Obnovte metadáta repozitára cieľa pred žiadosťou o balíky, pretože požiadavka na balíky sa zostavuje z tých metadát a zastarané indexy produkujú požiadavky, ktoré pomocník nedokáže splniť.

Na cieli príkaz administrátora v tvare apt-offline set vpn-meta.sig --update zapíše požiadavku na obnovenie. Preneste ten súbor na pripojený stroj a stiahnite zväzok pomocou apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Vráťte zväzok a importujte ho na cieli pomocou apt-offline install vpn-meta.zip, opäť ako administrátor.

Teraz vygenerujte požiadavku na balíky z obnovených metadát, napríklad apt-offline set vpn-deps.sig --install-packages openvpn, a zopakujte cestu s novým názvom zväzku. Držte každú požiadavku v páre so zväzkom, ktorý vytvorila; zväzok vygenerovaný proti starším metadátam nie je tá istá požiadavka, aj keď sa názvy súborov zdajú zameniteľné.

Pridajte integračné balíky iba vtedy, keď ich návrh potrebuje

Ak má pracovná plocha spravovať tunel cez svoje sieťové nastavenia, požiadavka potrebuje okrem enginu aj zodpovedajúci plugin. Uveďte konkrétne názvy balíkov, ktoré poskytuje vaše vydanie, namiesto zoznamu zapamätaného z inej distribúcie, a vygenerujte novú požiadavku vždy, keď sa zoznam zmení. Pripnutie verzií si tiež zaslúži úvahu: balík zostavený pre novšie vydanie môže splniť názov a napriek tomu zlyhať pri behu. Tu sa pevná množina štyroch balíkov stáva príťažou, pretože správny zoznam je vlastnosťou cieľa a vypočítať ho dokáže iba cieľ.

Aj tu sa pevná množina štyroch balíkov stáva príťažou. Správny zoznam je vlastnosťou cieľa a cieľ je jediný stroj, ktorý ho dokáže správne vypočítať.

Import zväzku nie je inštalácia VPN

Napriek názvu operácia inštalácie iba ukladá údaje APT do prostredia na správu balíkov. Nevykonáva transakciu balíkov. Dokončite a skontrolujte skutočnú inštaláciu APT na cieli z lokálne dodaných údajov a čítajte výstup, namiesto toho, aby ste predpokladali, že úspech ZIP znamená prítomnosť softvéru.

Ak tá transakcia stále žiada nedostupné súbory, uchovajte konkrétnu chýbajúcu závislosť alebo chybu repozitára a z nej vygenerujte ďalšiu požiadavku. Nenahrádzajte DEB z iného vydania a nevypínajte kontroly kontrolného súčtu ani autentifikáciu repozitára, aby ste ju pretlačili. Príručka výslovne varuje pred preskočením overenia stiahnutých súborov, a právom: neoverený balík je horší výsledok než neúspešná inštalácia.

Balíky sú len prvá polovica

Inštalácia softvéru je oddelená od získania schváleného koncového bodu, profilu, materiálu dôvery a poverení, pričom každé môže mať vlastné kontrolované odovzdanie. Fungujúca množina balíkov bez platného profilu sa nepripojí k ničomu.

Potom udržujte offline prenosovú cestu živú pre budúce aktualizácie. Považovať prvé úspešné pripojenie za koniec údržby znamená, že ďalšia bezpečnostná aktualizácia čaká, kým niekto s autom môže prísť, a tak sieť bez prístupu potichu zaostáva o roky.