Vaš prehod VPN še vedno potrebuje način za nameščanje posodobitev

Predor deluje za vse za njim, prehod posreduje njihov promet, pa vendar naprava sama ne more namestiti varnostne posodobitve. To je običajna oblika težave: dovoljenje za posredovanje je bilo dano odjemalcem, lastne odhodne povezave prehoda pa niso bile nikoli vključene v načrt. Upravitelj paketov odpira svoje vtičnice, s prehoda, do shrambe, ki je verjetno niste nikjer imenovali v pravilih požarnega zidu.

Zaklepanje prehoda je pravilno. Zaklepanje tako temeljito, da preneha prejemati popravke, je druga odločitev, in običajno naključna.

Lokalni izhod ni posredovanje odjemalcev

Pravila posredovanja urejajo pakete, ki prihajajo od drugod in odhajajo skozi prehod. Lastni promet posodobitev prehoda se z njimi nikoli ne ujema; nastane lokalno in potuje po izhodni poti. Ta razlika pojasnjuje okvaro, ki se zdi nemogoča, medtem ko dostop odjemalcev deluje brezhibno.

Pojasnjuje tudi vrzel v pravilniku, ki preživi teste, ker hitro preverjanje s prenosnika za predorom dokaže, da posredovalna veriga deluje, in ne pove ničesar o lastnih povezavah gostitelja. Prehod obravnavajte kot dva subjekta: usmerjevalnik s posredovalno verigo in gostitelja z izhodno verigo. Oba potrebujeta stališče, in običajno se zapiše samo eno.

Poimenujte stopnjo, ki ni uspela

Napake posodobitve poimenujejo različne meje, in segati po pravilu vrat, preden preberete, katera je spodletela, stane popoldne. Ime shrambe, ki se ne razreši, je vprašanje za resolver, ne vprašanje prevoza.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Časovna prekoračitev po uspešni razrešitvi premakne vprašanje na prevoz: kateri naslov, katera vrata in kateri nastavljeni posrednik je upravitelj paketov dejansko poskusil. Napaka preverjanja TLS je tretja, povsem druga stvar, in pomeni, da je povezava delovala dovolj dobro za pogajanje. Pritožba glede preverjanja pristnosti arhiva je četrta stopnja, in se nanaša na podpisane metapodatke, ne na dosegljivost. Štiri stopnje, štiri različna popravila, in ping vedno opisuje le en protokol, ki ga noben upravitelj paketov ne uporablja.

Preberite seznam virov, preden dodate pravilo

Naštejte dejanske URI virov in dejansko konfiguracijo posrednika, ne tistih, ki se jih spomnite. Pravilo, napisano za navaden HTTP, je neuporabno, ko je vir HTTPS, in posrednik, ki ga lupina pozna, je lahko neviden storitvi, zagnani ob zagonu z drugim okoljem.

Dokumentacija prevoza HTTP v APT pokriva nastavitve posrednika iz okolja in tiste, specifične za APT, vključno z izbirami po gostitelju, in njen prevoz HTTPS ima svoje nastavitve preverjanja. Pot brskalnika in pot upravitelja paketov sta ločeni poti, tudi na istem stroju.

Zabeležite, v katere družine se razrešujejo viri. Pravilo, ki dovoljuje samo IPv4, bo še naprej spodletelo na gostitelju, katerega viri dajejo prednost zapisu AAAA, in napaka se zdi občasna, ker je odvisna od tega, kateri odgovor prispe prvi.

Izberite eno pot vzdrževanja in se je držite

Obstajajo tri zagovorljive možnosti: promet vzdrževanja skozi predor, skozi upravljani posrednik posodobitev ali skozi ozko neposredno izjemo. Izberite eno zavestno in poskrbite, da se resolver z njo strinja, ker delitev, pri kateri se imena razrešujejo v eno smer, povezave pa gredo v drugo, ustvarja okvare, ki jih nihče ne zna pojasniti.

Karkoli izberete, to ne sme postati neomejena rezervna možnost. Če je neposreden odhodni promet prepovedan, ko predor ne deluje, je izjema za vzdrževanje, ki tiho dovoli vse, sprememba pravilnika, preoblečena v popravek. Lastno končno točko predora in potrebe bootstrapa imejte v ločeni kategoriji od dostopa do shramb, ker kažejo na različne cilje in spodletijo na različne načine, zato ena izjema ne more pokriti druge.

Preverjajte, ne da bi oslabili preverjanja

Obseg uporabite skozi požarni zid, ki pravilnik že ima, namesto da dodate drugega upravitelja, ker ga je uporabil en vodnik. Nato zaženite osvežitev metapodatkov in eno resnično transakcijo paketov po vzdrževanem pravilniku, in berite izhod, ne le izhodnega stanja.

Uspešen prevoz ni dovoljenje za rahljanje preverjanja. Preverjanje pristnosti arhiva in identiteta strežnika TLS sta ločeni garanciji, in izklop katere koli od njiju, da bi utišali napako, spremeni, čemu zaupate, ne tega, do česar lahko pridete.

Zaključite z namernim preizkusom primera brez predora. Vedenje, kako se prehod obnaša brez svojega predora, je del zasnove, odkriti to med izpadom ni. Spustite predor, zaženite osvežitev metapodatkov in potrdite, da gostitelj spodleti na predviden način, namesto da tiho pade nazaj na odprto pot. Poverilnice za shrambe in posrednika hranite zunaj skupne diagnostike in pustite zapisek, kdo je odgovoren za pot posodobitev.