Təchizatçı VPN tətbiqi NetworkManager ilə: vəziyyət kimə aiddir?
Profil plagini adlandırır, təchizatçı müştərisinin davranışını deyil. İdarə olunan noutbuku dəyişməzdən əvvəl qeydiyyatın, DNS-in, bloklamanın və yeniləmələrin kimə aid olduğunu xəritələyin.
Profil idxal etmək müştəri əvəz etməklə eyni şey deyil. NetworkManager plagin tipini plaginə xas verilənlər və sirlərlə birlikdə saxlayır və həmin tipə sahib olan plagin bağlantının nə edə biləcəyini müəyyən edir. Təchizatçı tətbiqinin üstünə qoyduğu hər şey, qeydiyyatdan həmişə aktiv bloklamaya qədər, fayldan kənarda yaşayır. Keçidin təhlükəsiz olub-olmaması bu təbəqələrdən hansılarına həqiqətən güvəndiyinizdən asılıdır.
Fayl funksiya dəstini deyil, plagini adlandırır
NetworkManager-ın VPN parametrləri arayışı plagini seçən xidmət tipini, üstəlik yalnız plaginin şərh etdiyi qeyri-şəffaf verilənlər lüğətini və sirlər lüğətini təsvir edir. Profil bir implementasiya ilə bağlanmış müqavilədir, hər hansı müştərinin təkrar edə biləcəyi davranışın təsviri deyil. İki müştəri eyni protokolu danışa, yenə də nəyi razılaşdırdıqlarına və hansı məlumat yollarını işə saldıqlarına görə fərqlənə bilər. Protokol adı sizə tunelin nə olduğunu deyir, ətrafdakı müştərinin onunla nə etdiyini heç vaxt demir.
Onda qablaşdırıcıları deyil, tələbləri müqayisə edin. Sual alternativin qoşulub-qoşulmaması deyil, çünki o adətən qoşula bilir; sual ilkin müştərini məqbul edən hər tələbin keçiddən sağ çıxıb-çıxmamasıdır. Hər hansı bir şey quraşdırmadan əvvəl bu tələbləri yazın, əks halda müqayisə ilk nəyin sındığını axtarmağa çevrilir.
Təchizatçı tətbiqinin tunelin ətrafına əlavə etdikləri
Təchizatçı müştəriləri adətən qeydiyyatı və cihaz vəziyyəti yoxlamalarını, öz interfeysi olan ikinci amil axınını, həmişə aktiv bloklamanı, yeniləmə kanalını və dəstək alətlərini bir yerdə gətirir. Bunun bir qismi protokolun yanında durur, bir qismi isə sadəcə quraşdırıcını paylaşan ayrı məhsuldur. NetworkManager tuneli və marşrutlaşdırmasını əvəz edə bilər və bağlantı vəziyyəti dəyişdikdə dispetçer skriptləri əməliyyat işə sala bilər. Lakin o, bloklama mühərrikini, sertifikat yeniləmə iş axınını və ya bağlantını hansı istifadəçinin qaldıra biləcəyi barədə fərziyyəni təkrar istehsal etmir.
Daha çox komponent daha təhlükəsiz demək deyil, daha az isə daha zəif demək deyil. Sual hansı komponentin sizə əməl etməli olduğunuz siyasəti tətbiq etməsidir. Əgər auditor tunel düşəndə nəyin trafiki blokladığını soruşsa, cavab bunu həqiqətən edən bir şeyi adlandırmalıdır və yalnız qoşulan profil həmin cavab deyil.
Sahiblik harada həqiqətən fərqlənir
Bunu yoxlama siyahısı kimi deyil, sahiblik xəritəsi kimi oxuyun, çünki aşağıdakı uğursuzluqlar sahiblik boşluqlarıdır və nə qədər müştəri konfiqurasiyası olsa da onları bağlamır. Hər sətir təbəqəni, onu bu gün adətən hansı tərəfin saxladığını və boşluğun ilk harada göründüyünü adlandırır.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Hər sətri müştəri barədə hisslə deyil, təkrar edə biləcəyiniz müşahidə ilə cütləşdirin. Nəzərdə tutulan həlledici ilə həll olunan ad, tunel dayandıqda yoxa çıxan marşrut və simulyasiya edilmiş kəsilmədən sonra bloklanmış bağlantı birlikdə cədvəlin çoxunu əhatə edən üç müşahidədir. Müşahidəni sübut etdiyi tələbin yanına yazın və uğursuz olanları saxlayın, çünki uğursuz müşahidə qeydin növbəti hadisəni proqnozlaşdıran yeganə hissəsidir.
Sahiblik üst-üstə düşmədən keçid
Təchizatçı müştərini və eyni xidmət üçün NetworkManager bağlantısını eyni vaxtda işə salmaq bu müqayisələrin yanlış getməsinin ən geniş yayılmış yoludur. İkisi də marşrutlar quraşdırır, ikisi də DNS təyin edə bilər və ikisi də firewall vəziyyətinə toxuna bilər. Sonra ölçdüyünüz şey heç bir müştərinin sənədləşdirilmiş davranışına uyğun gəlməyən üçüncü bir quruluşdur.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Birinci əmr profilın ümumiyyətlə VPN tipi olub-olmadığını deyir. İkincisi plagin xidmət tipini və hansı sirlərin saxlandığını göstərir, bu da açar fayldan deyil, agentdən gözlənildikdə vacibdir. Jurnal yüklənib razılaşa bilməyən plaginin bunu deyəcəyi yerdir. Əgər üçündən heç biri problem göstərmirsə, boşluq bağlantıda deyil, tunelin üstündəki siyasət təbəqələrindədir.
Yeni bağlantını işə salmazdan əvvəl köhnə müştərini ayırın, son nöqtələri və hesabı eyni saxlayın və hansı komponentin marşrutlara, həlledici parametrlərinə və bloklamaya sahib olduğunu yazın. Növbəti yeniləmənin iki sahiblə bitməsinin qarşısını alan qeyd elə budur.