Porta juaj VPN ende ka nevojë për një mënyrë për të instaluar përditësimet

Tuneli funksionon për të gjithë ata pas tij, porta i përcjell trafikun e tyre, dhe megjithatë vetë makina nuk mund të instalojë një përditësim sigurie. Kjo është forma e zakonshme e problemit: leja e përcjelljes iu dha klientëve, dhe lidhjet dalëse të vetë portës nuk u përfshinë kurrë në plan. Menaxheri i paketave hap vetë soketat e tij, nga porta, drejt një depoje që ndoshta nuk e keni emërtuar askund në politikën e murit të zjarrit.

Bllokimi i një porte është i saktë. Bllokimi i saj aq tërësisht sa ndalon marrjen e arnimeve është një vendim tjetër, dhe zakonisht i rastësishëm.

Dalja lokale nuk është përcjellje e klientëve

Rregullat e përcjelljes rregullojnë paketat që vijnë nga diku tjetër dhe dalin përmes portës. Trafiku i përditësimit të vetë portës nuk përputhet kurrë me to; ai gjenerohet lokalisht dhe kalon në rrugën dalëse. Ky dallim shpjegon një defekt që duket i pamundur ndërsa aksesi i klientëve funksionon në mënyrë të përsosur.

Shpjegon gjithashtu një boshllëk politike që i mbijeton testeve, sepse një kontroll i shpejtë nga një laptop pas tunelit provon se zinxhiri i përcjelljes funksionon dhe nuk thotë asgjë për lidhjet e vetë hostit. Trajtojeni portën si dy subjekte: një ruter me zinxhir përcjelljeje dhe një host me zinxhir daljeje. Të dy kanë nevojë për një qëndrim, dhe zakonisht shkruhet vetëm njëri.

Emërtoni fazën që dështoi

Gabimet e përditësimit emërtojnë kufij të ndryshëm, dhe të kapësh një rregull porte përpara se të lexosh cila dështoi kushton një pasdite. Një emër depoje që nuk zgjidhet është pyetje për resolver, jo pyetje transporti.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Një afat i skaduar pas një zgjidhjeje të suksesshme e zhvendos pyetjen te transporti: cilën adresë, cilën portë dhe cilin proxy të konfiguruar menaxheri i paketave në të vërtetë provoi. Një dështim verifikimi TLS është një gjë e tretë, krejt tjetër, dhe do të thotë se lidhja funksionoi mjaftueshëm mirë për të negociuar. Një ankesë për autentikimin e arkivit është faza e katërt, dhe ka të bëjë me metadata të nënshkruara, jo me arritshmërinë. Katër faza, katër riparime të ndryshme, dhe një ping përshkruan gjithmonë vetëm një protokoll që asnjë menaxher paketash nuk e përdor.

Lexoni listën e burimeve përpara se të shtoni një rregull

Listoni URI-të aktuale të burimeve dhe konfigurimin efektiv të proxy-t, jo ato që mbani mend. Një rregull i shkruar për HTTP të thjeshtë është i pavlerë kur burimi është HTTPS, dhe një proxy që shell-i e njeh mund të jetë i padukshëm për një shërbim të nisur në nisje me një mjedis tjetër.

Dokumentacioni i transportit HTTP në APT mbulon cilësimet e proxy-t të mjedisit dhe ato specifike për APT, duke përfshirë zgjedhjet për host, dhe transporti i tij HTTPS ka cilësime verifikimi të vetat. Rruga që merr një shfletues dhe rruga që merr menaxheri i paketave janë rrugë të ndara, edhe në të njëjtën makinë.

Vini re në cilat familje zgjidhen burimet. Një rregull që lejon vetëm IPv4 do të vazhdojë të dështojë në një host, burimet e të cilit preferojnë një regjistrim AAAA, dhe gabimi duket i ndërprerë sepse varet nga cila përgjigje arrin e para.

Zgjidhni një rrugë mirëmbajtjeje dhe mbaheni aty

Ekzistojnë tre opsione të mbrojtshme: trafiku i mirëmbajtjes përmes tunelit, përmes një proxy përditësimi të menaxhuar ose përmes një përjashtimi të ngushtë të drejtpërdrejtë. Zgjidhni një me qëllim dhe bëni që resolver-i të pajtohet, sepse një ndarje ku emrat zgjidhen në një drejtim dhe lidhjet shkojnë në tjetrin prodhon dështime që askush nuk mund t’i shpjegojë.

Çfarëdo që zgjidhni, nuk duhet të bëhet një zgjidhje rezervë e pakufizuar. Nëse trafiku dalës i drejtpërdrejtë ndalohet kur tuneli është jashtë, një përjashtim mirëmbajtjeje që lejon në heshtje gjithçka është një ndryshim politike i maskuar si rregullim. Mbani pikën fundore të vetë tunelit dhe nevojat e bootstrap në një kategori të veçantë nga aksesi në depo, sepse tregojnë destinacione të ndryshme dhe dështojnë në mënyra të ndryshme, kështu që një përjashtim nuk mund të mbulojë tjetrin.

Verifikoni pa i dobësuar kontrollet

Zbatojeni shtrirjen përmes murit të zjarrit që e zotëron politikën tashmë, në vend që të shtoni një menaxher të dytë sepse një udhëzues e përdori. Më pas ekzekutoni një rifreskim metadata dhe një transaksion të vërtetë paketash sipas politikës së mirëmbajtur, dhe lexoni daljen, jo vetëm statusin e daljes.

Transporti i suksesshëm nuk është leje për të zbutur verifikimin. Autentikimi i arkivit dhe identiteti i serverit TLS janë garanci të ndara, dhe çaktivizimi i njërës prej tyre për të heshtur një gabim ndryshon atë që i besoni, jo atë që mund të arrini.

Përfundoni duke testuar me qëllim rastin pa tunel. Të dish se si sillet porta pa tunelin e saj është pjesë e projektimit, ta zbulosh gjatë një ndërprerjeje nuk është. Ulni tunelin, ekzekutoni rifreskimin e metadatave dhe konfirmoni se hosti dështon në mënyrën e synuar, në vend që të bjerë në heshtje përsëri në një rrugë të hapur. Mbani kredencialet e depove dhe të proxy-t jashtë diagnostikimeve të përbashkëta dhe lini një shënim që emërton kush e zotëron rrugën e përditësimit.