Offline-VPN-paket: fråga mål-maskinen vad den behöver

Du behöver VPN-klienten för att nå nätverket som normalt levererar dess paket, och det är en fin liten cirkel. Att ladda ner en enda OpenVPN-DEB på en annan maskin slutar oftast med ett andra saknat beroende, sedan ett tredje, och sedan en hel kväll av att jaga biblioteksversioner. Alternativet är att låta den frånkopplade maskinen säga, på sina egna villkor, vad dess pakethanterare behöver. Allt nedan följer av den omkastningen av vem som frågar.

För system i Debian-familjen sker det samtalet genom apt-offline, ett arbetsflöde med förfrågan och retur. Dess egen körtidsmiljö måste först finnas på målet, installerad från godkända media eller en annan bootstrap som administratören hanterar, eftersom inget verktyg kan starta sig självt ur ingenting.

Börja med målets pakettillstånd, inte hjälparens

Registrera målets distributionsutgåva, användarrymdsarkitektur och konfigurerade paketkällor innan något annat. De tre fakta avgör vilken VPN-implementering och vilken skrivbordsintegration som passar, och de är fakta som en ansluten hjälpare inte kan leverera.

Hjälparen laddar ner filer; den blir inte beroendebaslinjen. En nyare bärbar dator som redan har OpenVPN installerat har ett helt annat pakettillstånd än målet, så dess framgång bevisar ingenting om vad målet kan acceptera.

Bestäm också vad du faktiskt vill ha. VPN-motorn, ett NetworkManager-tjänsteplugin och en grafisk editor är separata paket, och rätt val beror på utgåvan och på hur användaren kommer att hantera anslutningen. En server utan skärm behöver motorn och en konfigurationsfil; ett skrivbord behöver insticksmodulen som låter dess nätverksinställningar äga tunneln. Att begära fel uppsättning ger en installation som lyckas och en anslutning som ingen kan starta.

Två rundresor, i den här ordningen

Handboken skiljer på tre operationer: skapa en förfrågan på det frånkopplade systemet, ladda ner på en ansluten hjälpare, importera tillbaka på målet. Uppdatera målets förrådsmetadata innan du begär paket, eftersom paketförfrågan byggs från den metadatan och inaktuella index ger förfrågningar som hjälparen inte kan uppfylla.

På målet skriver ett administratörskommando i formen apt-offline set vpn-meta.sig --update uppdateringsförfrågan. Ta filen till den anslutna maskinen och ladda ner ett paket med apt-offline get vpn-meta.sig --bundle vpn-meta.zip. Ta tillbaka paketet och importera det på målet med apt-offline install vpn-meta.zip, återigen som administratör.

Skapa nu paketförfrågan från uppdaterad metadata, till exempel apt-offline set vpn-deps.sig --install-packages openvpn, och upprepa resan med ett nytt paketnamn. Håll varje förfrågan i par med paketet den producerade; ett paket som skapats mot äldre metadata är inte samma förfrågan, även när filnamnen ser utbytbara ut.

Lägg bara till integrationspaketen när designen behöver dem

Om skrivbordet ska hantera tunneln via sina nätverksinställningar behöver förfrågan motsvarande insticksmodul utöver motorn. Ta med de specifika paketnamn din utgåva tillhandahåller i stället för en lista du minns från en annan distribution, och skapa en ny förfrågan varje gång listan ändras. Versionslåsning förtjänar också en tanke: ett paket byggt för en nyare utgåva kan uppfylla namnet och ändå misslyckas vid körning. Det är här en fast uppsättning på fyra paket blir en belastning, eftersom rätt lista är en egenskap hos målet och bara målet kan beräkna den.

Det är också här en fast uppsättning på fyra paket blir en belastning. Rätt lista är en egenskap hos målet, och målet är den enda maskinen som kan beräkna den korrekt.

Att importera ett paket är inte att installera VPN:en

Trots namnet lägger installationsoperationen bara APT-data i pakethanteringsmiljön. Den utför inte pakettransaktionen. Slutför och granska målets faktiska APT-installation från de lokalt levererade data, och läs utdata i stället för att anta att ZIP-filens framgång betyder att programvaran finns.

Om den transaktionen fortfarande begär otillgängliga filer, spara det specifika saknade beroendet eller förrådsfelet och skapa nästa förfrågan från det. Byt inte in en DEB från en annan utgåva och stäng inte av kontrollsumme- eller förrådsautentisering för att tvinga igenom den. Handboken varnar uttryckligen för att hoppa över verifieringen av nedladdade filer, och med rätta: ett overifierat paket är ett sämre utfall än en misslyckad installation.

Paketen är bara första halvan

Att installera programvara är skilt från att skaffa den godkända slutpunkten, profilen, förtroendematerialet och inloggningsuppgifterna, som var och en kan ha sin egen kontrollerade överlämning. En fungerande paketuppsättning utan en giltig profil ansluter till ingenting.

Håll sedan den offline överföringsvägen vid liv för framtida uppdateringar. Att behandla den första lyckade anslutningen som slutet på underhållet innebär att nästa säkerhetsuppdatering väntar tills någon med bil kan komma förbi, och det är så ett offline-nätverk tyst hamnar år efter.