Вашем VPN гејтвеју је и даље потребан начин да инсталира ажурирања

Тунел ради за све иза њега, гејтвеј прослеђује њихов саобраћај, а ипак сам уређај не може да инсталира безбедносно ажурирање. То је уобичајен облик проблема: дозвола за прослеђивање дата је клијентима, а сопствене одлазне везе гејтвеја никада нису укључене у план. Менаџер пакета отвара сопствене сокете, са гејтвеја, ка репозиторијуму који вероватно нигде нисте именовали у правилима заштитног зида.

Закључати гејтвеј је исправно. Закључати га тако темељно да престане да прима закрпе је друга одлука, и обично случајна.

Локални излаз није прослеђивање клијената

Правила прослеђивања уређују пакете који долазе однекуд другде и излазе кроз гејтвеј. Сопствени саобраћај ажурирања гејтвеја им никада не одговара; настаје локално и пролази излазним путем. Та разлика објашњава квар који изгледа немогућ, док приступ клијената ради беспрекорно.

Објашњава и празнину у политици која преживи тестирање, јер брза провера са преносног рачунара иза тунела доказује да ланац прослеђивања ради и не говори ништа о сопственим везама хоста. Третирајте гејтвеј као два субјекта: рутер са ланцем прослеђивања и хост са излазним ланцем. Оба требају став, а обично се запише само један.

Именујте фазу која није успела

Грешке ажурирања именују различите границе, а посезање за правилом порта пре него што прочитате која није успела кошта поподне. Назив репозиторијума који се не разрешава је питање за resolver, а не питање транспорта.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Истек времена после успешног разрешавања премешта питање на транспорт: коју адресу, који порт и који конфигурисани прокси је менаџер пакета стварно покушао. Грешка провере TLS је трећа, потпуно друга ствар, и значи да је веза радила довољно добро да преговара. Притужба на аутентификацију архиве је четврта фаза, и тиче се потписаних метаподатака, а не доступности. Четири фазе, четири различите поправке, а ping увек описује само један протокол који ниједан менаџер пакета не користи.

Прочитајте списак извора пре него што додате правило

Наведите стварне URI-је извора и стварну конфигурацију проксија, а не оне којих се сећате. Правило написано за обичан HTTP бескорисно је када је извор HTTPS, а прокси који љуска познаје може бити невидљив услузи покренутој при подизању с другим окружењем.

Документација преноса HTTP у APT-у покрива прокси поставке окружења и оне специфичне за APT, укључујући избор по хосту, а њен HTTPS пренос има сопствене поставке провере. Пут којим пролази прегледач и пут којим пролази менаџер пакета су одвојени путеви, чак и на истом строју.

Забележите у које се фамилије извори разрешавају. Правило које дозвољава само IPv4 наставиће да не успева на хосту чији извори преферирају AAAA запис, а грешка изгледа повремено јер зависи од тога који одговор стигне први.

Изаберите један пут одржавања и држите га се

Постоје три оправдане опције: саобраћај одржавања кроз тунел, кроз управљани прокси за ажурирања или кроз уску директну изнимку. Изаберите једну свесно и побрините се да се resolver с тим слаже, јер подела у којој се имена разрешавају на једну страну, а везе иду на другу ствара кварове које нико не може да објасни.

Шта год изабрали, то не сме постати неограничена резервна опција. Ако је директни одлазни саобраћај забрањен када тунел не ради, изнимка за одржавање која тихо дозвољава све је промена политике прерушена у поправку. Држите сопствену завршну тачку тунела и потребе bootstrap-а у засебној категорији од приступа репозиторијумима, јер показују на различита одредишта и не успевају на различите начине, па једна изнимка не може да покрије другу.

Проверавајте без слабљења провера

Примените обим кроз заштитни зид који већ поседује политику, уместо да додате другог менаџера јер га је један водич користио. Затим покрените освежавање метаподатака и једну стварну трансакцију пакета под одржаваном политиком, и читајте излаз, а не само излазни статус.

Успешан пренос није дозвола за ублажавање провере. Аутентификација архиве и идентитет TLS сервера засебна су јемства, а искључивање било ког од њих да би се ућуткала грешка мења оно у шта верујете, не оно до чега можете да дођете.

Завршите намерним тестирањем случаја без тунела. Знати како се гејтвеј понаша без свог тунела део је дизајна, открити то током прекида није. Спустите тунел, покрените освежавање метаподатака и потврдите да хост не успева на предвиђен начин, уместо да тихо падне назад на отворен пут. Држите акредитиве репозиторијума и проксија изван заједничке дијагностике и оставите белешку која наводи коме припада пут ажурирања.