Вторичната VPN връзка принадлежи на един Wi-Fi профил, не на всички

Настройте VPN като вторична връзка на домашната Wi-Fi мрежа и всичко работи, докато лаптопът не се присъедини към друга точка за достъп и тунелът остане долу. Новата връзка е отделен конфигурационен обект със свой UUID и няма причина да знае за връзката, която сте създали за предшественика ѝ. Нищо не се е повредило; асоциацията просто никога не е съществувала.

Справочникът за връзки на NetworkManager дефинира вторичните като UUID, които се активират заедно с определена базова връзка. Той също отбелязва, че обикновените VPN профили не реализират автоматично активиране по начина, по който го правят базовите връзки. И двете твърдения водят до един извод: асоциацията е за всеки профил поотделно и някой трябва да я създаде за всеки нов.

Какво всъщност е вторичната връзка

Базовата връзка има идентичност, UUID и списък с вторични. Когато се активира, мениджърът активира и тези вторични по ред и така VPN следва Wi-Fi мрежа без ръчно кликване. Връзката живее в базовата връзка, записана като низове UUID, а не като имена. Този избор на представяне не е случаен; именно той позволява на асоциацията да преживее преименуване.

Тази подробност за имената е по-важна, отколкото изглежда. Преименуването на VPN профил оставя UUID му непокътнат, така че съществуващите асоциации продължават да работят. Изтриването на стария профил и импортирането на нов създава нов UUID и всяка асоциация, сочеща към стария, вече не сочи към нищо.

Прегледайте съществуващия списък, преди да добавяте. Домашен профил с една вторична не е правило, което пасва на всеки SSID; това е един ред в един обект и няма да бъде търсен, когато се активира друга база.

Поставете асоциацията там, където се създават профилите

На лична машина превърнете прикачването на желаната вторична в част от добавянето на всеки разрешен Wi-Fi профил. Това е навик, а не функция, но навик, който създава последователно състояние, и отнема една команда или две посещения на диалог за всяка мрежа. Водете кратка бележка кои мрежи трябва да носят тунела, защото списъкът е политиката.

На управлявани устройства оставете работния процес по предоставяне да създава Wi-Fi записа и неговата VPN асоциация в една и съща стъпка и приложете същото към разрешените профили, които вече съществуват. Разпространението на VPN профил сам по себе си оставя базовите отношения неуточнени и така един парк се сдобива с тунел, който само половината лаптопи използват.

Когато потребителите все още могат да създават профили извън управлявания път, решете изрично какво се случва с тези записи. Да се предполага, че наследяват асоциация, не е политика; това е надежда с прикачени разходи за поддръжка.

Планирайте промяната на идентичността на VPN

Източникът за предоставяне се нуждае от UUID на желания VPN, а не от показно име, което някой е познал. Когато поддръжката замени този VPN с новоимпортиран обект, актуализирайте шаблона за предоставяне и засегнатите съществуващи асоциации в същата промяна. Преименуването не е замяна и третирането на двете като еквивалентни е начинът, по който работещо внедряване се чупи седмица по-късно.

Съхранявайте UUID до причината, поради която съществува. Бъдещ инженер, който намери гол UUID в списък с вторични, няма как да разбере дали е актуален и вероятно ще го изтрие, докато подрежда.

Активирането не е налагане

Заявката за вторична се случва по време на активиране. Тя не блокира приложенията през интервала преди завършването на удостоверяването и не спира трафика, след като тунелът се провали. Това са различни свойства, осигурени от различни механизми, и смесването им създава дизайн, който изглежда строг в профила и е разрешителен на практика.

Блокирането на директния трафик е отделна функция със собствена конфигурация и собствени режими на отказ и трябва да отчита трафика, който трябва да достигне мрежата, преди да съществува какъвто и да е тунел: портали за прихващане, страници за вход, самата крайна точка. Политика за блокиране, която не може да бъде удовлетворена преди удостоверяване, заключва машината извън точно тази мрежа, от която се нуждае.

Поставете това разграничение в инструкциите, които потребителите действително четат. Нова Wi-Fi мрежа може да поиска тунела; налагането решава дали нещо може да излезе, когато не може да се свърже. Потребителите, на които е казана само първата половина, ще съобщят дизайна като счупен.

Тествайте с наистина нов профил

Използвайте одобрена тестова мрежа и новосъздаден базов профил, а не домашния запис, който вече работи. Наблюдавайте активирането на базата, поискания UUID на вторичната и всяка подкана за удостоверяване последователно и отбележете кой етап застоява, когато застоява. Таен агент, който става достъпен след влизане в работния плот, не е автоматично наличен във всеки контекст на стартиране, затова рестартът принадлежи на тестовия план. След това проверете предвидения ресурс и пътя на отказа: издига ли се тунелът преди приложението да се нуждае от него, и какво се случва с това приложение, когато удостоверяването се провали?

След това проверете предвидения ресурс и пътя на отказа: издига ли се тунелът преди приложението да се нуждае от него, и какво се случва с това приложение, когато тунелът не може да се удостовери? Тези две наблюдения са критериите за приемане и нито едно от тях не се вижда в самия профил.