VPN ağ geçidinizin hâlâ güncelleme kurmak için bir yola ihtiyacı var

Tünel arkasındaki herkes için çalışıyor, ağ geçidi trafiğini iletiyor, ama makinenin kendisi bir güvenlik güncellemesi kuramıyor. Sorunun olağan biçimi budur: iletme izni istemcilere verildi ve ağ geçidinin kendi giden bağlantıları plana hiç dahil edilmedi. Paket yöneticisi kendi soketlerini açar, ağ geçidinden, güvenlik duvarı politikasında büyük olasılıkla hiçbir yerde adlandırmadığınız bir depoya doğru.

Bir ağ geçidini kilitlemek doğrudur. Onu yama almayı bırakacak kadar sıkı kilitlemek başka bir karardır ve genellikle kazara verilmiş bir karardır.

Yerel çıkış, istemci iletmesi değildir

İletme kuralları başka bir yerden gelen ve ağ geçidinden çıkan paketleri yönetir. Ağ geçidinin kendi güncelleme trafiği bunlarla hiçbir zaman eşleşmez; yerel olarak üretilir ve çıkış yolunu izler. Bu ayrım, istemci erişimi kusursuz çalışırken imkânsız görünen bir arızayı açıklar.

Aynı zamanda testleri atlatan bir politika boşluğunu da açıklar, çünkü tünelin arkasındaki bir dizüstü bilgisayardan yapılan hızlı bir kontrol iletme zincirinin çalıştığını kanıtlar ve ana makinenin kendi bağlantıları hakkında hiçbir şey söylemez. Ağ geçidini iki özne olarak ele alın: iletme zinciri olan bir yönlendirici ve çıkış zinciri olan bir ana makine. İkisinin de bir görüşe ihtiyacı vardır ve genellikle yalnızca biri yazıya geçirilir.

Başarısız olan aşamayı adlandırın

Güncelleme hataları farklı sınırları adlandırır ve hangisinin başarısız olduğunu okumadan bir bağlantı noktası kuralına uzanmak bir öğleden sonraya mal olur. Çözülemeyen bir depo adı, çözümleyici sorusudur, taşıma sorusu değil.

getent hosts deb.debian.org
curl -sSI https://deb.debian.org/debian/dists/stable/Release | head -n 1
apt-get -o Debug::Acquire::https=true update

Başarılı bir aramadan sonra oluşan zaman aşımı soruyu taşımaya kaydırır: paket yöneticisinin gerçekte hangi adresi, hangi bağlantı noktasını ve hangi yapılandırılmış vekil sunucuyu denediği. TLS doğrulama hatası tamamen üçüncü, bambaşka bir şeydir ve bağlantının pazarlık yapabilecek kadar iyi çalıştığı anlamına gelir. Arşiv kimlik doğrulamasıyla ilgili bir şikayet dördüncü aşamadır, ve erişilebilirlikten çok imzalı üst verilerle ilgilidir. Dört aşama, dört farklı onarım ve bir ping her zaman hiçbir paket yöneticisinin kullanmadığı yalnızca bir protokolü tanımlar.

Kural eklemeden önce kaynak listesini okuyun

Anımsadığınız kaynakları değil, gerçek kaynak URI'lerini ve etkin vekil sunucu yapılandırmasını listeleyin. Düz HTTP için yazılmış bir kural, kaynak HTTPS olduğunda işe yaramaz ve kabuğun bildiği bir vekil sunucu, önyüklemede farklı bir ortamla başlatılan bir hizmet için görünmez olabilir.

APT HTTP taşıma belgeleri ortam ve APT'ye özgü vekil sunucu ayarlarını, ana makine başına seçimler dahil, kapsar ve HTTPS taşımasının kendi doğrulama ayarları vardır. Tarayıcının izlediği yol ile paket yöneticisinin izlediği yol, aynı makinede bile ayrı yollardır.

Kaynakların hangi adres ailelerine çözüldüğüne dikkat edin. Yalnızca IPv4'e izin veren bir kural, kaynakları AAAA kaydını tercih eden bir ana makinede başarısız olmaya devam eder ve hata aralıklı görünür çünkü hangi yanıtın önce geldiğine bağlıdır.

Bir bakım yolu seçin ve ona bağlı kalın

Savunulabilir üç seçenek vardır: tünel üzerinden bakım trafiği, yönetilen bir güncelleme vekil sunucusu üzerinden veya dar bir doğrudan istisna üzerinden. Birini bilinçli olarak seçin ve çözümleyicinin de bunu kabul etmesini sağlayın, çünkü adların bir yöne çözüldüğü ve bağlantıların başka bir yöne gittiği bir bölünme, kimsenin açıklayamadığı arızalar üretir.

Ne seçerseniz seçin, sınırsız bir yedek yol haline gelmemelidir. Tünel kapalıyken doğrudan giden trafik yasaklıysa, sessizce her şeye izin veren bir bakım istisnası, düzeltme kılığına girmiş bir politika değişikliğidir. Tünelin kendi uç noktasını ve önyükleme gereksinimlerini depo erişiminden ayrı bir kategoride tutun, çünkü farklı hedeflere işaret ederler ve farklı biçimlerde başarısız olurlar, bu yüzden bir muafiyet diğerini kapsayamaz.

Denetimleri zayıflatmadan doğrulayın

Kapsamı, bir kılavuz kullandı diye ikinci bir yönetici eklemek yerine, politikayı zaten elinde tutan güvenlik duvarı üzerinden uygulayın. Ardından sürdürülen politika altında bir üst veri yenilemesi ve gerçek bir paket işlemi çalıştırın ve yalnızca çıkış durumunu değil çıktıyı okuyun.

Başarılı taşıma, doğrulamayı gevşetme izni değildir. Arşiv kimlik doğrulaması ve TLS sunucu kimliği ayrı garantilerdir ve bir hatayı susturmak için herhangi birini devre dışı bırakmak, neye güvendiğinizi değiştirir, neye ulaşabildiğinizi değil.

Tünelsiz durumu bilinçli olarak test ederek bitirin. Ağ geçidinin tünelsiz nasıl davrandığını bilmek tasarımın parçasıdır, bunu bir kesinti sırasında keşfetmek değildir. Tüneli indirin, üst veri yenilemesini çalıştırın ve ana makinenin amaçladığınız şekilde başarısız olduğunu, sessizce açık bir yola geri dönmediğini doğrulayın. Depo ve vekil sunucu kimlik bilgilerini paylaşılan tanılama dışında tutun ve güncelleme yolunun kime ait olduğunu belirten bir not bırakın.