Usasishaji wa lango la VPN unashindikana: soma hatua kabla ya kufungua njia ya kutoka
Usasishaji ulioshindikana hutaja hatua, si bandari iliyokosekana. Oanisha ujumbe na mmiliki wake, soma njia ya proksi, kisha amua sera ya matengenezo kwa makusudi.
Kukataa kusakinisha masasisho ya usalama ni wiki moja mbaya tu kabla ya kuwa tatizo la mtu mwingine, na lango linalowaruhusu wateja ndilo mahali rahisi zaidi kukuza tabia hiyo. Sababu ya kawaida si njia iliyokosekana bali uamuzi uliokosekana: hakuna aliyesema jinsi mwenyeji wenyewe anapaswa kufikia hazina wakati upelekaji wa wateja umekusudiwa kuwa mwembamba. Uamuzi huo lazima ufanywe kwa uwazi, na lazima uwe mwembamba kuliko kuzima sera ya kutoka kwa mchana mmoja.
Hatua nne, wamiliki wanne tofauti
Kushindikana kwa usasishaji ni hatua iliyotajwa, iwe ujumbe unasema hivyo au la, na kila hatua inamilikiwa na mtu tofauti. Jina lisiloweza kutafsiriwa ni suala la kitatuzi. Muunganisho unaoisha muda ni suala la usafirishaji, proksi au upande wa mbali. Hitilafu ya utambulisho wa TLS ni suala la uaminifu, na metadata ya kumbukumbu iliyokataliwa ni suala la sahihi. Hatua nne, wamiliki wanne, na kanuni ya bandari hujibu moja tu kati yao.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping na utatuzi wa majina ni vipimo viwili ambavyo watu hutumia kwanza, na vyote hujibu maswali ambayo hakuna aliyeyauliza. Jibu la echo hutumia itifaki tofauti na muunganisho wa hazina, na utafutaji uliofanikiwa huishia kwenye utatuzi wa majina bila kujaribu upataji. Vyote viwili vinaweza kupita wakati shughuli halisi inashindikana, na vyote viwili vinaweza kushindikana kwa sababu zisizohusiana na njia.
Soma njia ambayo msimamizi anachukua kwa kweli
Kagua URI za chanzo zilizosanidiwa na mpangilio halisi wa proksi badala ya kudhani kimoja chao. Kanuni iliyoandikwa kwa HTTP ya kawaida si ukarabati wakati hazina inazungumza HTTPS, na shirika linalolazimisha proksi tayari limechagua njia. Wasimamizi wa vifurushi huheshimu vigeu vya mazingira na usanidi wao wenyewe, na mipangilio maalum ya mwenyeji inaweza kupindua ile ya jumla. Kile kivinjari shirikishi hufanya si lazima kiwe kile msimamizi hufanya.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyNyaraka za usafirishaji za APT zinaeleza mipangilio ipi inatumika kwa mpango upi wa URI na jinsi chaguo maalum za mwenyeji huandikwa. Weka matokeo ya amri pamoja na tiketi, kwa sababu hutenganisha tatizo la proksi na njia iliyokosekana haraka kuliko idadi yoyote ya matokeo ya ping. Andika mahali, bandari na itifaki kamili ambazo msimamizi anajaribu, na uache mabadiliko ya firewall yategemee rekodi hiyo badala ya anwani ya kioo iliyokisiwa ambayo huwa ya kizamani ndani ya miezi.
Chagua sera ya matengenezo, si msamaha
Sera tatu zinaweza kuteteleka: kudumisha kupitia handaki, kudumisha kupitia proksi ya masasisho inayosimamiwa, au kudumisha kupitia njia ya moja kwa moja iliyoidhinishwa kwa uembamba. Kila moja inaashiria mpangilio wa kitatuzi unaoendana nayo. Kisichoweza kuteteleka ni msamaha ambao kimya kimya unakuwa njia mbadala isiyo na kikomo kila handaki linapoanguka.
Andika sera iliyochaguliwa pamoja na mmiliki, kwa sababu mwendeshaji anayefuata atapata kanuni na si hoja iliyo nyuma yake. Tekeleza idhini kupitia firewall iliyopo na mmiliki wa mtandao badala ya kufuta kanuni au kuongeza msimamizi wa pili wa sera kwa mwenyeji mmoja. Shughulikia familia za anwani na vituo vya huduma ambavyo chanzo halisi hutumia, na pitia orodha wakati hazina inahama.
Thibitisha bila kudhoofisha uaminifu
Mafanikio ya usafirishaji si ruhusa ya kulegeza uthibitishaji: uthibitishaji wa kumbukumbu na utambulisho wa seva ya TLS ni ukaguzi mbili tofauti, na kuzima moja yao hufanya hitilafu itoweke wakati ikibadilisha kile mwenyeji atakachokubali. Proksi inayokatiza ni uamuzi wa uaminifu wa mmiliki wa mtandao na si sababu ya kuzima ukaguzi ndani, na vitambulisho vya hazina havipaswi kuwa katika uchunguzi unaoshirikiwa, kwa sababu kumbukumbu ndefu ndilo mahali rahisi zaidi za kuvujisha.
Kubali mabadiliko kwa upataji wa metadata unaodhibitiwa ukifuatiwa na shughuli moja ya kifurushi iliyoidhinishwa, kisha jaribu kile kinachotokea handaki linapoanguka. Njia ya matengenezo inayopanuka kimya kimya wakati wa kukatika ni mbaya zaidi kuliko ile inayoshindikana ikiwa imefungwa, na matokeo yanapaswa kuwa njia ya masasisho yenye mmiliki aliyetajwa na wigo uliowekewa mipaka.