Vaša brána VPN stále potrebuje spôsob, ako inštalovať aktualizácie

Tunel funguje pre všetkých za ním, brána preposiela ich prevádzku, a napriek tomu samotný stroj nedokáže nainštalovať bezpečnostnú aktualizáciu. To je obvyklý tvar problému: oprávnenie na preposielanie dostali klienti a vlastné odchádzajúce spojenia brány sa do plánu nikdy nedostali. Správca balíkov otvára vlastné sockety, z brány, k repozitáru, ktorý ste pravdepodobne nikde v pravidlách firewallu nepomenovali.

Uzamknúť bránu je správne. Uzamknúť ju tak dôkladne, že prestane dostávať záplaty, je iné rozhodnutie, a zvyčajne náhodné.

Lokálny výstup nie je preposielanie klientov

Pravidlá preposielania riadia pakety, ktoré prichádzajú odinakiaľ a odchádzajú cez bránu. Vlastná aktualizačná prevádzka brány im nikdy nezodpovedá; vzniká lokálne a ide výstupnou cestou. Ten rozdiel vysvetľuje poruchu, ktorá vyzerá nemožne, zatiaľ čo prístup klientov funguje bezchybne.

Vysvetľuje aj medzeru v politike, ktorá prežije testy, pretože rýchla kontrola z notebooku za tunelom dokazuje, že preposielací reťazec funguje, a nič nehovorí o vlastných spojeniach hostiteľa. Berte bránu ako dva subjekty: router s preposielacím reťazcom a hostiteľa s výstupným reťazcom. Oba potrebujú stanovisko a zvyčajne sa zapíše len jedno.

Pomenujte fázu, ktorá zlyhala

Chyby aktualizácie pomenúvajú rôzne hranice, a siahnuť po pravidle portu skôr, než prečítate, ktorá zlyhala, stojí popoludnie. Názov repozitára, ktorý sa nevyrieši, je otázka pre resolver, nie otázka transportu.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Vypršanie časového limitu po úspešnom rozlíšení presúva otázku na transport: ktorú adresu, ktorý port a ktorú nakonfigurovanú proxy správca balíkov skutočne skúsil. Zlyhanie overenia TLS je tretia, úplne iná vec, a znamená, že spojenie fungovalo dostatočne dobre na to, aby vyjednalo parametre. Sťažnosť na overovanie archívu je štvrtou fázou a týka sa podpísaných metadát, nie dostupnosti. Štyri fázy, štyri rôzne opravy, a ping vždy opisuje len jeden protokol, ktorý žiadny správca balíkov nepoužíva.

Prečítajte si zoznam zdrojov, kým pridáte pravidlo

Vypíšte skutočné URI zdrojov a účinnú konfiguráciu proxy, nie tie, ktoré si pamätáte. Pravidlo napísané pre obyčajné HTTP je nanič, keď je zdroj HTTPS, a proxy, ktorú pozná shell, môže byť neviditeľná pre službu spustenú pri štarte s iným prostredím.

Dokumentácia transportu HTTP v APT pokrýva proxy nastavenia prostredia aj špecifické pre APT, vrátane volieb pre jednotlivých hostiteľov, a jej transport HTTPS má vlastné nastavenia overovania. Cesta prehliadača a cesta správcu balíkov sú oddelené cesty, aj na tom istom stroji.

Všimnite si, do ktorých rodín sa zdroje rozlišujú. Pravidlo povoľujúce len IPv4 bude ďalej zlyhávať na hostiteľovi, ktorého zdroje uprednostňujú záznam AAAA, a chyba vyzerá občasne, pretože závisí od toho, ktorá odpoveď dorazí prvá.

Vyberte jednu cestu údržby a držte sa jej

Existujú tri obhájiteľné možnosti: prevádzka údržby tunelom, cez spravovanú proxy aktualizácií, alebo cez úzku priamu výnimku. Vyberte jednu vedome a zabezpečte, aby s ňou resolver súhlasil, pretože rozdelenie, keď sa názvy rozlišujú jedným smerom a spojenia idú iným, vytvára poruchy, ktoré nikto nedokáže vysvetliť.

Čokoľvek si vyberiete, nesmie sa to stať neobmedzenou záložnou cestou. Ak je priama odchádzajúca prevádzka zakázaná, keď je tunel mimo prevádzky, výnimka pre údržbu, ktorá ticho povoľuje všetko, je zmena politiky prezlečená za opravu. Udržujte vlastný koncový bod tunela a potreby bootstrapu v samostatnej kategórii od prístupu k repozitárom, pretože ukazujú na rôzne ciele a zlyhávajú rôznymi spôsobmi, takže jedna výnimka nemôže pokryť druhú.

Overujte bez oslabenia kontrol

Uplatnite rozsah cez firewall, ktorý politiku už vlastní, namiesto pridania druhého správcu, pretože ho použil jeden návod. Potom spustite obnovu metadát a jednu skutočnú transakciu s balíkmi podľa udržiavanej politiky a čítajte výstup, nie len návratový kód.

Úspešný transport nie je povolenie uvoľniť overovanie. Overovanie archívu a identita servera TLS sú samostatné záruky a vypnutie ktorejkoľvek z nich, aby utíchla chyba, mení to, čomu dôverujete, nie to, kam sa dostanete.

Na záver vedome otestujte prípad bez tunela. Vedieť, ako sa brána správa bez svojho tunela, patrí k návrhu; zistiť to počas výpadku nie. Vypnite tunel, spustite obnovu metadát a potvrďte, že hostiteľ zlyhá zamýšľaným spôsobom, namiesto toho, aby ticho spadol späť na otvorenú cestu. Držte prihlasovacie údaje k repozitárom a proxy mimo zdieľanej diagnostiky a zanechajte poznámku, kto vlastní cestu aktualizácií.