Përditësimi i portës VPN dështon: lexoni fazën përpara se të hapni daljen
Një përditësim i dështuar emërton një fazë, jo një port që mungon. Lidhni mesazhin me pronarin e tij, lexoni rrugën e proxy-t dhe më pas vendosni me vetëdije politikën e mirëmbajtjes.
Refuzimi për të instaluar përditësimet e sigurisë është vetëm një javë e keqe larg nga të bëhesh problem i dikujt tjetër, dhe një portë që pranon klientë është vendi më i lehtë për të zhvilluar atë zakon. Shkaku i zakonshëm nuk është një rrugë që mungon, por një vendim që mungon: askush nuk tha se si duhet të arrijë vetë hosti një depo kur përcjellja e klientëve është qëllimisht e ngushtë. Ky vendim duhet të merret në mënyrë të qartë, dhe duhet të jetë më i ngushtë sesa fikja e politikës së daljes për një pasdite.
Katër faza, katër pronarë të ndryshëm
Një dështim përditësimi është një fazë e emërtuar, pavarësisht nëse mesazhi e thotë apo jo, dhe secila fazë i përket një pronari të ndryshëm. Një emër që nuk zgjidhet është çështje e zgjidhësit. Një lidhje që skadon është çështje e transportit, e proxy-t ose e skajit të largët. Një gabim identiteti TLS është çështje besimi, dhe metadatat e arkivit të refuzuara janë çështje nënshkrimi. Katër faza, katër pronarë, dhe një rregull porte përgjigjet gjithmonë vetëm njërës prej tyre.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping-u dhe zgjidhja e emrave janë dy testet që njerëzit përdorin së pari, dhe të dyja përgjigjen pyetjeve që askush nuk i bëri. Një përgjigje echo përdor një protokoll tjetër nga lidhja me depon, dhe një kërkim i suksesshëm ndalon te zgjidhja e emrave pa testuar marrjen. Secili prej tyre mund të kalojë ndërsa transaksioni real dështon, dhe secili mund të dështojë për arsye që nuk kanë lidhje me rrugën.
Lexoni rrugën që menaxheri ndjek në të vërtetë
Inspektoni URI-t e burimit të konfiguruara dhe rregullimin efektiv të proxy-t në vend që të supozoni njërin prej tyre. Një rregull i shkruar për HTTP të thjeshtë nuk është riparim kur depoja flet HTTPS, dhe një organizatë që kërkon një proxy e ka zgjedhur tashmë rrugën. Menaxherët e paketave respektojnë variablat e mjedisit dhe konfigurimin e tyre, dhe cilësimet specifike të hostit mund të anulojnë një cilësim global. Ajo që bën një shfletues interaktiv nuk duhet të jetë ajo që bën menaxheri.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyDokumentacioni i transportit APT përshkruan cilat cilësime vlejnë për cilën skemë URI dhe si shkruhen zgjedhjet specifike të hostit. Ruani daljen e komandave me biletën, sepse ajo ndan një problem proxy nga një rrugë që mungon më shpejt sesa çdo numër rezultatesh ping. Shënoni destinacionin, portin dhe protokollin e saktë që menaxheri provon, dhe lërini ndryshimin e firewall-it të mbështetet në atë regjistrim në vend të një adrese pasqyre të hamendësuar që vjetrohet brenda muajsh.
Zgjidhni një politikë mirëmbajtjeje, jo një përjashtim
Tre politika janë të mbrojtshme: mirëmbajtja përmes tunelit, mirëmbajtja përmes një proxy përditësimi të menaxhuar, ose mirëmbajtja përmes një rruge të drejtpërdrejtë të autorizuar ngushtë. Secila nënkupton një rregullim të zgjidhësit që përputhet me të. Ajo që nuk është e mbrojtshme është një përjashtim që në heshtje bëhet një rrugë rezervë pa kufi sa herë që tuneli bie.
Shkruani politikën e zgjedhur së bashku me një pronar, sepse operatori tjetër do të gjejë rregullin dhe jo arsyetimin pas tij. Zbatoni lejen përmes firewall-it ekzistues dhe pronarit të rrjetit në vend që të zbrazni rregulla ose të shtoni një menaxher të dytë politikash për një host të vetëm. Mbuloni familjet e adresave dhe pikat fundore të shërbimit që përdor burimi real, dhe rishikoni listën kur depoja zhvendoset.
Verifikoni pa dobësuar besimin
Suksesi i transportit nuk është leje për të lehtësuar verifikimin: vërtetimi i arkivit dhe identiteti i serverit TLS janë dy kontrolle të dallueshme, dhe çaktivizimi i njërës prej tyre e bën një gabim të zhduket duke ndryshuar atë që hosti do të pranojë. Një proxy përgjues është një vendim besimi i pronarit të rrjetit, jo një arsye për të fikur kontrollin lokalisht, dhe kredencialet e depos nuk i përkasin diagnostikimit të përbashkët, sepse një regjistër i detajuar është vendi më i lehtë për t’i rrjedhur ato.
Pranoni ndryshimin me një marrje të kontrolluar të metadatave të ndjekur nga një transaksion i miratuar pakete, më pas provoni çfarë ndodh kur tuneli bie. Një rrugë mirëmbajtjeje që zgjerohet në heshtje gjatë një ndërprerjeje është më e keqe sesa një që dështon e mbyllur, dhe rezultati duhet të jetë një rrugë përditësimi me një pronar të emërtuar dhe një shtrirje të kufizuar.