Тримайте одне сховище APT поза проксі

Внутрішнє сховище пакетів не повинно залишати офісну мережу й повертатися через зовнішній проксі. Ви можете надати APT виняток для конкретного хоста, не вимикаючи проксі для кожного завантаження.

Наприклад, фрагмент конфігурації APT може містити:

Acquire::http::Proxy "http://proxy.example:8080/";
Acquire::http::Proxy::packages.office.example "DIRECT";
Acquire::https::Proxy::packages.office.example "DIRECT";

Приклад зберігає проксі HTTP за замовчуванням і звільняє зазначений хост сховища від обох перелічених налаштувань транспорту. Для його зовнішнього маршруту за замовчуванням список проксі HTTP пропонує кандидатів, коли публічні проксі дозволені; тримайте внутрішнє сховище прямим. Задайте будь-який потрібний проксі HTTPS за замовчуванням окремо відповідно до реального середовища.

Використовуйте хост, а не URL сховища

Суфікс — це ім'я хоста: без https://, без шляху й без завершальної скісної риски. Кілька сховищ на одному хості поділяють це виключення маршрутизації. Це не правило брандмауера для кожного каталогу.

DIRECT — це значення вибору проксі APT, описане в посібнику з транспорту HTTP. Воно не означає «використовувати інше дзеркало» й не змінює, які пакети публікує сховище.

Стежте за завантаженням далі за його перший URL

Якщо сховище перенаправляє на інше ім'я хоста, цей запит має власне рішення про маршрутизацію. Те саме стосується випадків, коли метадані та архіви пакетів надходять з різних хостів. Тримайте винятки відповідно до хостів, які внутрішній службі справді потрібні.

Прямий маршрут також потребує звичайної доступності та правильного довір'я до сертифіката. Успішний вибір обходу не може змусити недоступний внутрішній сервер відповісти.

Перегляньте чинну конфігурацію APT після розміщення фрагмента у звичайному каталозі конфігурації. Пізніший запис для конкретного хоста може змінити результат. Уникайте копіювання в цей ключ синтаксису обходу з підстановочними знаками з браузера; задокументоване налаштування хоста APT є відповідним інтерфейсом.