Другасны VPN належыць аднаму профілю Wi-Fi, а не ўсім

Наладзьце VPN як другасны элемент хатняга Wi-Fi-злучэння, і ўсё працуе, пакуль ноўтбук не далучыцца да іншай кропкі доступу і тунель не застанецца ўнізе. Новае злучэнне — гэта асобны аб'ект канфігурацыі з уласным UUID, і ў яго няма ніякіх прычын ведаць пра сувязь, якую вы стварылі для яго папярэдніка. Нішто не зламалася; сувязі проста ніколі не існавала.

Даведнік злучэнняў NetworkManager вызначае другасныя элементы як UUID, якія актывуюцца разам з пэўным базавым злучэннем. Ён таксама адзначае, што звычайныя профілі VPN не рэалізуюць аўтаматычную актывацыю гэтак жа, як базавыя злучэнні. Абедзве ўстановы вядуць да адной высновы: сувязь існуе для кожнага профілю асобна, і хтосьці павінен стварыць яе для кожнага новага.

Што такое другасны элемент насамрэч

Базавае злучэнне мае ідэнтычнасць, UUID і спіс другасных элементаў. Калі яно актывуецца, кіраўнік таксама актывуе гэтыя другасныя элементы па парадку, і менавіта так VPN ідзе за Wi-Fi-сеткай без ручнога кліку. Сувязь жыве на базавым злучэнні і запісваецца як радкі UUID, а не як назвы. Гэты выбар прадстаўлення не выпадковы; менавіта ён дазваляе сувязі перажыць перайменаванне.

Гэтая дэталь пра назвы важнейшая, чым здаецца. Перайменаванне профілю VPN пакідае яго UUID нязменным, таму існыя сувязі працягваюць працаваць. Выдаленне старога профілю і імпарт новага ствараюць новы UUID, і кожная сувязь, якая паказвала на стары, цяпер не паказвае ні на што.

Агледзьце існы спіс перад даданнем. Хатні профіль з адным другасным элементам — гэта не правіла, якое падыходзіць да кожнага SSID; гэта адзін радок у адным аб'екце, і да яго не звернуцца, калі актывуецца іншая база.

Размясціце сувязь там, дзе ствараюцца профілі

На асабістай машыне зрабіце далучэнне патрэбнага другаснага элемента часткай дадання кожнага дазволенага профілю Wi-Fi. Гэта звычка, а не функцыя, але звычка, якая дае ўзгоднены стан, і яна патрабуе адной каманды або двух візітаў у дыялог на кожную сетку. Трымайце кароткую нататку пра тое, якія сеткі павінны несці тунель, бо спіс — гэта палітыка.

На кіраваных прыладах няхай працэс забеспячэння стварае запіс Wi-Fi і яго сувязь з VPN на адным кроку, і прымяняйце тую ж апрацоўку да дазволеных профіляў, якія ўжо існуюць. Размеркаванне профілю VPN асобна пакідае базавыя адносіны невызначанымі, і менавіта так парк атрымлівае тунель, якім карыстаецца толькі палова ноўтбукаў.

Там, дзе карыстальнікі ўсё яшчэ могуць ствараць профілі па-за кіраваным шляхам, выразна вырашыце, што адбудзецца з гэтымі запісамі. Меркаванне, што яны атрымаюць сувязь у спадчыну, — гэта не палітыка; гэта надзея з далучанымі выдаткамі на падтрымку.

Сплануйце змену ідэнтычнасці VPN

Крыніца забеспячэння патрабуе UUID патрэбнага VPN, а не паказанай назвы, якую хтосьці ўгадаў. Калі абслугоўванне заменіць гэты VPN толькі што імпартаваным аб'ектам, абнавіце шаблон забеспячэння і закранутыя існыя сувязі ў адной змене. Перайменаванне — гэта не замена, і стаўленне да двух як да эквівалентных — гэта тое, як працоўнае разгортванне ламаецца праз тыдзень.

Захоўвайце UUID побач з прычынай яго існавання. Будучы інжынер, які знойдзе голы UUID у спісе другасных элементаў, не зможа сказаць, ці актуальны ён, і, хутчэй за ўсё, выдаліць яго падчас прыборкі.

Актывацыя — гэта не прымус

Запыт другаснага элемента адбываецца ў момант актывацыі. Ён не блакуе праграмы ў інтэрвале да завяршэння аўтэнтыфікацыі і не спыняе трафік пасля збою тунелю. Гэта розныя ўласцівасці, якія забяспечваюць розныя механізмы, і змешванне іх стварае дызайн, які выглядае строгім у профілі і з'яўляецца дапушчальным на практыцы.

Блакаванне прамога трафіку — асобная функцыя з уласнай канфігурацыяй і ўласнымі рэжымамі збояў, і яна павінна ўлічваць трафік, які павінен дасягнуць сеткі да таго, як з'явіцца любы тунель: пасткі-парталы, старонкі ўваходу, сам канчатковы пункт. Палітыка блакавання, якую немагчыма задаволіць да аўтэнтыфікацыі, замыкае машыну па-за сеткай, якая ёй патрэбна.

Унясіце гэтае размежаванне ў інструкцыі, якія карыстальнікі сапраўды чытаюць. Новая Wi-Fi-сетка можа запытаць тунель; прымус вырашае, ці можа нешта выйсці, калі падключыцца не ўдаецца. Карыстальнікі, якім расказалі толькі пра першую палову, паведамяць пра дызайн як пра зламаны.

Тэстуйце з сапраўды новым профілем

Выкарыстоўвайце ўзгодненую тэставую сетку і толькі што створаны базавы профіль, а не хатні запіс, які ўжо працуе. Назірайце па чарзе актывацыю базы, запытаны UUID другаснага элемента і любы запыт аўтэнтыфікацыі, і адзначайце, на якой стадыі ўсё застойваецца, калі застойваецца. Сакрэтны агент, які становіцца даступным пасля ўваходу ў працоўны стол, не абавязаны прысутнічаць у кожным кантэксце запуску, таму перазагрузка належыць да тэставага плана. Затым праверце патрэбны рэсурс і шлях збою: ці ўзнімаецца тунель раней, чым ён патрэбны праграме, і што адбываецца з гэтай праграмай, калі аўтэнтыфікацыя не ўдаецца?

Затым праверце патрэбны рэсурс і шлях збою: ці ўзнімаецца тунель раней, чым ён патрэбны праграме, і што адбываецца з гэтай праграмай, калі тунель не можа аўтэнтыфікавацца? Гэтыя два назіранні — крытэрыі прыёмкі, і ні адно з іх не бачна ў самім профілі.