Шэрае кіраванне NetworkManager? Спачатку праверце ўласнасць, а потым дазволы

Шэрыя пераключальнікі VPN у меню працоўнага стала паведамляюць, што нешта не так, і нічога не кажуць пра тое, што менавіта. Гэта назіранне, а не дыягназ. Тры розныя мяжы могуць даць адзін і той жа мёртвы элемент кіравання: NetworkManager можа не валодаць прыстасаваннем, сеансу можа не хапаць дазволу змяніць яго, або плагін рэдактара VPN можа быць зусім не ўсталяваны. Змяненне не той мяжы — гэта шлях ад пяціхвіліннага выпраўлення да паўдня пераўсталёўкі пакетаў.

Тры каманды толькі для чытання раздзяляюць выпадкі да таго, як нешта будзе зменена.

Задайце тры пытанні па парадку

nmcli device status
nmcli general permissions
nmcli connection show

Гэта каманды праверкі для сістэмы, якая сапраўды выкарыстоўвае NetworkManager, і ўсталёўваць іх назіраваць як звычайны карыстальнік. Трымайце прыватныя звесткі пра злучэнне па-за публічнымі журналамі, калі вы дзе-небудзь ўставіце вынік.

Стан прыстасавання адказвае, ці інтэрфейс кіруемы і прыдатны да выкарыстання. Прагляд дазволаў адказвае, што сеансу, які выклікае, дазволена рабіць. Спіс злучэнняў паказвае, якія профілі існуюць; ён не даказвае, што адпаведны рэдактар VPN або плагін імпарту ўсталяваны.

Уласнасць і дазвол — розныя няспраўнасці

Прыстасаванне, пазначанае як некіраванае, знаходзіцца па-за кантролем NetworkManager, і ніякая колькасьць дазволаў не дасць працоўны пераключальнік. Плагін ifupdown — адна з частых прычын: яго кіруемая ўстаноўка вырашае, як апрацоўваюцца запісы ў файле interfaces, і пакінутая частка можа ўтрымліваць інтэрфейс пад старым інструментам. Існаванне файла не з'яўляецца ўказаннем выдаліць яго змест, а выдаленне запісаў, якія вы не пісалі, — добры спосаб страціць злучэнне.

Дазвол — асобная вось. NetworkManager аўтарызуе выклікаючых не з root праз PolicyKit, і паведамлены адказ можа быць так, auth або не. Сеанс без агента аўтэнтыфікацыі паведамляе auth і потым ціха церпіць няўдачу на працоўным стале, што выглядае як зламаны элемент кіравання, а не як адсутны агент.

Не выпраўляйце ні адзін з іх, запускаючы працоўны стол як root

Запуск усяго сеанса як root, каб адзін пераключальнік запрацаваў, змяняе мадэль бяспекі кожнай праграмы на машыне. Ён таксама хавае асноўную няправільную канфігурацыю замест таго, каб яе дакументаваць. Калі дзеянне патрабуе адміністрацыйнай аўтарызацыі, гэта і ёсць задуманы дызайн, і выпраўленне належыць палітыцы або таму, як запускаецца агент.

Гэтак жа не запускайце другую копію NetworkManager або канкуруючы дэман. Два менеджэры спрачаюцца за адно і тое ж прыстасаванне ствараюць стан, які цяжка асэнсаваць і яшчэ цяжэй падтрымаць. Калі другі дэман выглядае адзіным спосабам вярнуць кіраванне, выпраўляць трэба канфігурацыю першага менеджэра. Спыніце лішні дэман перад змяненнем чаго-небудзь яшчэ, інакш наступны тэст вымерае іх абодвух адначасова.

Пытанне плагіна датычыцца і рэдактара

Стварэнне або імпарт злучэння VPN патрабуе плагіна, які забяспечвае гэты тып злучэння, а на працоўным стале звычайна патрабуецца яшчэ і інтэграцыя з рэдактарам. Пакет на баку службы можа прысутнічаць, пакуль формы рэдактара няма, таму запіс у меню можа існаваць і ўсё роўна не працаваць. Правярайце абедзве паловы паводле пакетавання дыстрыбутыва, а не выказвайце здагадку, што адзін пакет усталёўвае ўсё.

Асобны кліенцкі бінарнік таксама не доказ. Усталёўка бінарніка OpenVPN сама па сабе не дае рэдактару працоўнага стала формы для стварэння профілю OpenVPN.

Выпраўце адказную мяжу, затым праверце

Калі вы ведаеце, якая мяжа няправільная, змяніце толькі яе. Пазначэнне прыстасавання як кіруемага, выдача дазволу або ўсталёўка пакета рэдактара — гэта тры розныя аперацыі з трыма рознымі прафілямі рызыкі, і іх змешванне робіць вынік немагчымым для атрыбуцыі. Калі ўласнасць павінна перайсці, рабіце гэта з даступным доступам праз кансоль або пазапаласовым доступам, бо памылка там можа забраць сетку, якой вы карыстаецеся, каб яе выправіць.

Затым праверце з сапраўдным уліковым запісам і сапраўдным профілем: пацвердзіце маршрут, прагляд DNS і месца захоўвання сакрэту. Уключаныя кнопкі — гэта стан інтэрфейса, а не доказ, што тунэль працуе. Запішыце стан прыстасавання, адказ пра дазвол і версію плагіна ў заяўку, каб наступны чалавек ведаў, якая мяжа насамрэч змянілася.