VPN ağ geçidi güncellemesi başarısız oluyor: çıkışı açmadan önce aşamayı okuyun
Başarısız bir güncelleme eksik bir bağlantı noktası değil, bir aşama adlandırır. Mesajı sahibiyle eşleştirin, proxy yolunu okuyun ve ardından bakım politikasına bilinçli karar verin.
Güvenlik güncellemelerini kurmayı reddetmek, birinin başka birinin sorunu haline gelmesine yalnızca kötü bir hafta uzaklıktadır ve istemcileri kabul eden bir ağ geçidi bu alışkanlığı geliştirmek için en kolay yerdir. Olağan neden eksik bir yol değil, eksik bir karardır: istemci yönlendirmesi kasıtlı olarak dar tutulduğunda ana makinenin kendisinin bir depoya nasıl ulaşacağını kimse söylemedi. Bu karar açıkça verilmelidir ve bir öğleden sonra için çıkış politikasını kapatmaktan daha dar olmalıdır.
Dört aşama, dört farklı sahip
Bir güncelleme hatası, mesaj bunu söylese de söylemese de adlandırılmış bir aşamadır ve her aşama farklı bir sahibe aittir. Çözülemeyen bir ad çözümleyici sorusudur. Zaman aşımına uğrayan bir bağlantı taşıma, proxy veya uzak uç sorusudur. Bir TLS kimlik hatası güven sorusudur ve reddedilen arşiv üst verileri bir imza sorusudur. Dört aşama, dört sahip ve bir bağlantı noktası kuralı bunlardan yalnızca birini yanıtlar.
| The failure text mentions | Which component owns it | What you check first | What you must not change |
|---|---|---|---|
| a name that will not resolve | the resolver policy for this host | which resolver is used, and whether its path is permitted | nothing in the firewall: no repository packet has left yet |
| a connection that times out | routing, proxy or the far end | the destination, port and proxy the manager actually attempts | the egress policy, before you know that destination |
| a TLS identity mismatch | trust configuration and the server's identity | the chain the manager is presented with | verification settings, which only hide the mismatch |
| rejected archive metadata | the repository's signing metadata | whether the source carries valid, trusted metadata | the signature check, which is not a routing question |
Ping ve ad çözümlemesi, insanların ilk başvurduğu iki testtir ve ikisi de kimsenin sormadığı soruları yanıtlar. Bir yankı yanıtı depo bağlantısından farklı bir protokol kullanır ve başarılı bir sorgu, almayı test etmeden ad çözümlemesinde durur. İkisi de gerçek işlem başarısız olurken geçebilir ve ikisi de yolla ilgisi olmayan nedenlerle başarısız olabilir.
Yöneticinin gerçekte izlediği yolu okuyun
Yapılandırılmış kaynak URI’lerini ve gerçek proxy düzenini, herhangi birini varsaymak yerine inceleyin. Düz HTTP için yazılmış bir kural, depo HTTPS konuştuğunda bir onarım değildir ve proxy zorunlu kılan bir kuruluş yolu zaten seçmiştir. Paket yöneticileri ortam değişkenlerine ve kendi yapılandırmalarına uyar ve ana makineye özgü ayarlar genel bir ayarı geçersiz kılabilir. Etkileşimli bir tarayıcının yaptığı şey, yöneticinin yaptığı şey olmak zorunda değildir.
apt-get update -o Debug::Acquire::http=true
apt-config dump | grep -i proxy
env | grep -i proxyAPT taşıma belgeleri, hangi ayarların hangi URI şemasına uygulandığını ve ana makineye özgü seçimlerin nasıl yazıldığını açıklar. Komut çıktısını kayıtla birlikte saklayın, çünkü bir proxy sorununu eksik bir yoldan herhangi bir sayıda ping sonucundan daha hızlı ayırır. Yöneticinin denediği tam hedefi, bağlantı noktasını ve protokolü yazın ve güvenlik duvarı değişikliğini aylar içinde eskiyen tahmini bir ayna adresine değil, bu kayda dayandırın.
Bir bakım politikası seçin, istisna değil
Üç politika savunulabilir: tünel üzerinden bakım yapmak, yönetilen bir güncelleme proxy’si üzerinden bakım yapmak veya dar yetkili doğrudan bir yol üzerinden bakım yapmak. Her biri kendisine uyan bir çözümleyici düzeni gerektirir. Savunulamaz olan, tünel her düştüğünde sessizce sınırsız bir yedek yola dönüşen bir istisnadır.
Seçilen politikayı bir sahiple birlikte yazın, çünkü bir sonraki operatör kuralı bulacak, arkasındaki gerekçeyi değil. İzni, kuralları boşaltmak veya tek bir ana makine için ikinci bir politika yöneticisi eklemek yerine mevcut güvenlik duvarı ve ağ sahibi üzerinden uygulayın. Gerçek kaynağın kullandığı adres ailelerini ve hizmet uç noktalarını kapsayın ve depo taşındığında listeyi gözden geçirin.
Güveni zayıflatmadan doğrulayın
Başarılı taşıma, doğrulamayı gevşetme izni değildir: arşiv kimlik doğrulaması ve TLS sunucu kimliği iki ayrı denetimdir ve herhangi birini devre dışı bırakmak, ana makinenin neyi kabul edeceğini değiştirirken hatanın görünmez olmasını sağlar. Araya giren bir proxy, ağ sahibinin güven kararıdır, denetimi yerel olarak kapatmak için bir neden değildir ve depo kimlik bilgileri paylaşılan tanılamalara ait değildir, çünkü ayrıntılı bir günlük onları sızdırmanın en kolay yeridir.
Değişikliği kontrollü bir üst veri alımı ve ardından onaylanmış bir paket işlemiyle kabul edin, sonra tünel düştüğünde ne olduğunu test edin. Kesinti sırasında sessizce genişleyen bir bakım yolu, kapalı başarısız olan bir yoldan daha kötüdür ve sonuç, adlandırılmış bir sahibi ve sınırlı kapsamı olan bir güncelleme yolu olmalıdır.