Dobavljačka VPN aplikacija protiv NetworkManagera: ko posjeduje stanje?
Profil imenuje dodatak, a ne ponašanje dobavljačkog klijenta. Mapirajte ko posjeduje registraciju, DNS, blokiranje i ažuriranja prije nego što prebacite upravljani laptop.
Uvoz profila nije isto što i zamjena klijenta. NetworkManager čuva tip dodatka zajedno s podacima i tajnama specifičnim za dodatak, a dodatak koji posjeduje taj tip odlučuje šta veza može raditi. Sve što aplikacija dobavljača slaže povrh toga, od registracije do stalnog blokiranja, živi izvan datoteke. Da li je prebacivanje sigurno zavisi od toga na koje se od tih slojeva zaista oslanjate.
Datoteka imenuje dodatak, a ne skup funkcija
Referenca VPN postavki NetworkManagera opisuje tip usluge koji bira dodatak, plus neprozirni rječnik podataka i rječnik tajni koje tumači samo dodatak. Profil je ugovor s jednom implementacijom, a ne opis ponašanja koje bilo koji klijent može reproducirati. Dva klijenta mogu govoriti isti protokol i ipak se razlikovati u tome šta pregovaraju i koje podatkovne puteve uključuju. Oznaka protokola govori vam šta je tunel, nikada šta okolni klijent radi s njim.
Zato upoređujte zahtjeve, a ne omotače. Pitanje nije može li alternativa uspostaviti vezu, jer obično može; pitanje je preživljava li preseljenje svaki zahtjev koji je izvornog klijenta činio prihvatljivim. Zapišite te zahtjeve prije nego što bilo šta instalirate, inače se poređenje pretvara u potragu za onim što prvo pukne.
Šta aplikacija dobavljača dodaje oko tunela
Klijenti dobavljača obično objedinjuju registraciju i provjere stanja uređaja, tok drugog faktora s vlastitim sučeljem, stalno blokiranje, kanal za ažuriranja i alate za podršku. Dio toga stoji uz protokol, a dio je zaseban proizvod koji samo dijeli instalater. NetworkManager može zamijeniti tunel i njegovo rutiranje, a skripte dispečera mogu pokrenuti radnje kada se stanje veze promijeni. On ne reprodukuje mašinu za blokiranje, proces obnove certifikata ni pretpostavku o tome koji korisnik smije podići vezu.
Više komponenti ne znači sigurnije, a manje ne znači slabije. Pitanje je koja komponenta provodi politiku koju su vam rekli da slijedite. Ako revizor pita šta blokira saobraćaj kada tunel padne, odgovor mora imenovati nešto što to zaista čini, a profil koji se samo povezuje nije taj odgovor.
Gdje se vlasništvo zaista razlikuje
Čitajte ovo kao mapu vlasništva, a ne kao kontrolnu listu, jer su kvarovi ispod praznine u vlasništvu i nijedna količina konfiguracije klijenta ih ne zatvara. Svaki red imenuje sloj, stranu koja ga danas obično drži i gdje se praznina prvo pokaže.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Uparite svaki red s opažanjem koje možete ponoviti, a ne s osjećajem o klijentu. Ime razriješeno kroz predviđeni rezolver, ruta koja nestane kada tunel stane i blokirana veza nakon simuliranog prekida tri su opažanja koja zajedno pokrivaju većinu tabele. Zapišite opažanje uz zahtjev koji dokazuje i zadržite ona koja nisu uspjela, jer neuspjelo opažanje jedini je dio zapisa koji predviđa sljedeći incident.
Prebacivanje bez preklapanja vlasništva
Istovremeno pokretanje dobavljačkog klijenta i NetworkManager veze za istu uslugu najčešći je način da ova poređenja pođu po zlu. Oba instaliraju rute, oba mogu postaviti DNS i oba mogu dirati stanje vatrozida. Ono što tada mjerite treći je raspored koji ne odgovara dokumentovanom ponašanju nijednog od dva klijenta.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Prva komanda govori je li profil uopšte tip VPN. Druga prikazuje tip usluge dodatka i koje su tajne pohranjene, što je važno kada se ključ očekuje od agenta umjesto iz datoteke. Dnevnik je mjesto gdje će dodatak koji se učitao ali nije uspio pregovarati to reći. Ako nijedna od tri ne pokaže problem, praznina je u slojevima politike iznad tunela, a ne u vezi.
Isključite stari klijent prije uključivanja nove veze, održite krajnje točke i račun identičnim i zapišite koja komponenta posjeduje rute, postavke rezolvera i blokiranje. Ta bilješka je ono što sprječava da se sljedeće ažuriranje završi s dva vlasnika.