Aktualizácia brány VPN zlyháva: prečítajte si fázu pred otvorením výstupu
Zlyhaná aktualizácia pomenúva fázu, nie chýbajúci port. Priraďte správu jej vlastníkovi, prečítajte si cestu proxy a potom sa vedome rozhodnite o politike údržby.
Odmietanie inštalovať bezpečnostné aktualizácie je len jeden zlý týždeň od toho, aby ste sa stali problémom niekoho iného, a brána, ktorá vpúšťa klientov, je najľahšie miesto na vypestovanie tohto zvyku. Zvyčajná príčina nie je chýbajúca trasa, ale chýbajúce rozhodnutie: nikto nepovedal, ako má samotný hostiteľ dosiahnuť úložisko, keď je preposielanie klientov zámerne úzke. Toto rozhodnutie treba prijať výslovne a musí byť užšie než vypnutie výstupnej politiky na jedno popoludnie.
Štyri fázy, štyria rôzni vlastníci
Zlyhanie aktualizácie je pomenovaná fáza, či to správa hovorí alebo nie, a každá fáza patrí inému vlastníkovi. Názov, ktorý sa nedá vyriešiť, je otázka pre rezolvér. Pripojenie, ktoré vyprší, je otázka pre transport, proxy alebo vzdialený koniec. Chyba identity TLS je otázka dôvery, a odmietnuté metadáta archívu sú otázkou podpisu. Štyri fázy, štyria vlastníci a pravidlo portu vždy odpovedá len na jednu z nich.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping a preklad názvov sú dva testy, po ktorých ľudia siahnu najskôr, a oba odpovedajú na otázky, ktoré nikto nepoložil. Odpoveď echo používa iný protokol než pripojenie k úložisku a úspešné vyhľadanie sa zastaví pri preklade názvov bez toho, aby otestovalo získanie. Obe môžu prejsť, kým skutočná transakcia zlyhá, a obe môžu zlyhať z dôvodov, ktoré s cestou nesúvisia.
Prečítajte si cestu, ktorou správca skutočne ide
Preskúmajte nakonfigurované zdrojové URI a skutočné usporiadanie proxy namiesto toho, aby ste niektoré z nich predpokladali. Pravidlo napísané pre obyčajné HTTP nie je oprava, keď úložisko hovorí HTTPS, a organizácia, ktorá vyžaduje proxy, si už cestu vybrala. Správcovia balíkov rešpektujú premenné prostredia a vlastnú konfiguráciu a nastavenia špecifické pre hostiteľa môžu prepísať globálne. To, čo robí interaktívny prehliadač, nemusí byť to, čo robí správca.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyDokumentácia transportu APT opisuje, ktoré nastavenia platia pre ktorú schému URI a ako sa zapisujú voľby špecifické pre hostiteľa. Uložte výstup príkazov k tiketu, pretože oddelí problém s proxy od chýbajúcej trasy rýchlejšie než akýkoľvek počet výsledkov ping. Zapíšte presný cieľ, port a protokol, ktoré správca skúša, a nechajte zmenu firewallu stáť na tomto zázname namiesto odhadnutej zrkadlovej adresy, ktorá zostarne v priebehu mesiacov.
Vyberte si politiku údržby, nie výnimku
Tri politiky sú obhájiteľné: udržiavať cez tunel, udržiavať cez spravovanú aktualizačnú proxy alebo udržiavať cez úzko autorizovanú priamu trasu. Každá z nich predpokladá zodpovedajúce usporiadanie rezolvéra. Neobhájiteľná je výnimka, ktorá sa potichu stane neobmedzenou záložnou cestou vždy, keď tunel spadne.
Zapíšte zvolenú politiku spolu s vlastníkom, pretože nasledujúci operátor nájde pravidlo a nie dôvody za ním. Uplatnite povolenie cez existujúci firewall a vlastníka siete namiesto vymazania pravidiel alebo pridania druhého správcu politík pre jedného hostiteľa. Pokryte rodiny adries a koncové body služieb, ktoré používa skutočný zdroj, a zoznam revidujte, keď sa úložisko presunie.
Overujte bez oslabenia dôvery
Úspešný transport nie je povolením uvoľniť overovanie: overenie archívu a identita servera TLS sú dve odlišné kontroly a vypnutie ktorejkoľvek z nich nechá chybu zmiznúť, pričom zmení to, čo hostiteľ prijme. Zachytávajúca proxy je rozhodnutie o dôvere vlastníka siete, nie dôvod vypnúť kontrolu lokálne, a prihlasovacie údaje úložiska nepatria do zdieľanej diagnostiky, pretože podrobný záznam je najľahšie miesto na ich únik.
Prijmite zmenu s kontrolovaným získaním metadát a potom jednou schválenou transakciou balíka, a potom otestujte, čo sa stane, keď tunel spadne. Cesta údržby, ktorá sa počas výpadku potichu rozširuje, je horšia než tá, ktorá zlyhá zatvorená, a výsledkom by mala byť aktualizačná cesta s pomenovaným vlastníkom a obmedzeným rozsahom.