Lango lako la VPN bado linahitaji njia ya kusakinisha masasisho

Handaki inafanya kazi kwa kila mtu aliye nyuma yake, lango husambaza trafiki yao, na bado mashine yenyewe haiwezi kusakinisha sasisho la usalama. Hii ni hali ya kawaida ya tatizo: ruhusa ya usambazaji ilipewa wateja, na miunganisho ya nje ya lango yenyewe haikuwahi kujumuishwa katika mpango. Kidhibiti cha vifurushi hufungua soketi zake mwenyewe, kutoka kwenye lango, kuelekea hazina ambayo huenda hukuitaja mahali popote katika sera ya ngome.

Kufunga lango ni sahihi. Kulifunga kwa umakini hata likaacha kupokea viraka ni uamuzi mwingine, na kwa kawaida ni wa bahati mbaya.

Matokeo ya ndani si usambazaji wa wateja

Kanuni za usambazaji husimamia vifurushi vinavyofika kutoka mahali pengine na kutoka kupitia lango. Trafiki ya sasisho ya lango yenyewe haiwahi kuendana nazo; huzalishwa ndani na hupita njia ya matokeo. Tofauti hiyo inaeleza hitilafu inayoonekana kuwa isiyowezekana wakati ufikiaji wa wateja unafanya kazi kikamilifu.

Pia inaeleza pengo la sera linaloendelea kufaulu majaribio, kwa sababu ukaguzi wa haraka kutoka kwa kompyuta ya mkononi nyuma ya handaki huthibitisha kwamba mnyororo wa usambazaji unafanya kazi na hausemi chochote kuhusu miunganisho ya mwenyeji yenyewe. Chukulia lango kama vyombo viwili: kipanga njia chenye mnyororo wa usambazaji na mwenyeji mwenye mnyororo wa matokeo. Vyote viwili vinahitaji msimamo, na kwa kawaida huandikwa kimoja tu.

Taja hatua iliyoshindwa

Hitilafu za sasisho hutaja mipaka tofauti, na kukimbilia kanuni ya mlango kabla ya kusoma ipi iliyoshindwa hugharimu mchana mmoja. Jina la hazina lisiloweza kutuliwa ni swali la kisuluhishi, si swali la usafirishaji.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Muda wa kusubiri baada ya utafutaji uliofaulu huhamishia swali kwenye usafirishaji: anwani ipi, mlango upi na proksi ipi iliyowekwa ambayo kidhibiti cha vifurushi kilijaribu kweli. Hitilafu ya uthibitishaji wa TLS ni jambo la tatu, tofauti kabisa, na inamaanisha muunganisho ulifanya kazi vya kutosha kujadiliana. Malalamiko kuhusu uthibitishaji wa kumbukumbu ni hatua ya nne, na inahusu metadata zilizotiwa sahihi badala ya kufikiwa. Hatua nne, marekebisho manne tofauti, na ping daima hueleza itifaki moja tu ambayo hakuna kidhibiti cha vifurushi kinachotumia.

Soma orodha ya vyanzo kabla ya kuongeza kanuni

Orodhesha URI halisi za vyanzo na usanidi madhubuti wa proksi, si zile unazokumbuka. Kanuni iliyoandikwa kwa HTTP rahisi haina maana wakati chanzo ni HTTPS, na proksi inayojulikana na ganda inaweza kuwa isiyoonekana kwa huduma inayoanzishwa wakati wa kuwasha na mazingira tofauti.

Nyaraka za usafirishaji wa HTTP katika APT zinashughulikia mipangilio ya proksi ya mazingira na ile mahususi ya APT, ikiwa ni pamoja na chaguo kwa kila mwenyeji, na usafirishaji wake wa HTTPS una mipangilio yake ya uthibitishaji. Njia ya kivinjari na njia ya kidhibiti cha vifurushi ni njia tofauti, hata kwenye mashine moja.

Angalia ni familia zipi za anwani ambazo vyanzo hutuliwa. Kanuni inayoruhusu IPv4 pekee itaendelea kushindwa kwenye mwenyeji ambaye vyanzo vyake hupendelea rekodi ya AAAA, na hitilafu inaonekana ya vipindi kwa sababu inategemea jibu lipi linalofika kwanza.

Chagua njia moja ya matengenezo na uishike

Zipo chaguo tatu zinazoweza kuteteleka: trafiki ya matengenezo kupitia handaki, kupitia proksi ya sasisho inayosimamiwa au kupitia msamaha wa moja kwa moja mwembamba. Chagua moja kwa makusudi na uhakikishe kisuluhishi kinakubali, kwa sababu mgawanyiko ambapo majina hutuliwa upande mmoja na miunganisho huenda upande mwingine huzalisha hitilafu ambazo hakuna anayeweza kuzieleza.

Chochote utakachochagua, hakiwezi kuwa mbadala usio na kikomo. Ikiwa trafiki ya moja kwa moja ya nje imekatazwa wakati handaki haifanyi kazi, msamaha wa matengenezo unaoruhusu kila kitu kimya kimya ni mabadiliko ya sera yaliyofichwa kama marekebisho. Weka ncha ya handaki yenyewe na mahitaji ya bootstrap katika kundi tofauti na ufikiaji wa hazina, kwa sababu zinaelekeza kwenye maeneo tofauti na hushindwa kwa njia tofauti, kwa hivyo msamaha mmoja hauwezi kufunika mwingine.

Thibitisha bila kudhoofisha ukaguzi

Tumia wigo kupitia ngome ambayo tayari inamiliki sera, badala ya kuongeza kidhibiti cha pili kwa sababu mwongozo mmoja uliitumia. Kisha endesha uboreshaji wa metadata na muamala mmoja halisi wa vifurushi chini ya sera inayotunzwa, na soma matokeo badala ya hali ya kutoka pekee.

Usafirishaji uliofaulu si ruhusa ya kulegeza uthibitishaji. Uthibitishaji wa kumbukumbu na utambulisho wa seva ya TLS ni dhamana tofauti, na kuzima mojawapo ili kunyamazisha hitilafu hubadilisha unachokiamini, si unachoweza kufikia.

Maliza kwa kujaribu kwa makusudi hali ya bila handaki. Kujua jinsi lango linavyotenda bila handaki yake ni sehemu ya muundo, kuigundua wakati wa hitilafu sivyo. Shusha handaki, endesha uboreshaji wa metadata na uthibitishe kwamba mwenyeji anashindwa kwa njia uliyokusudia badala ya kuanguka kimya kimya kwenye njia iliyo wazi. Weka vitambulisho vya hazina na proksi nje ya uchunguzi unaoshirikiwa na uache dokezo linalotaja nani anamiliki njia ya sasisho.