VPN sekundarna veza pripada jednom Wi-Fi profilu, a ne svima

Konfigurišite VPN kao sekundarnu vezu kućne Wi-Fi veze i sve radi, sve dok se laptop ne pridruži drugoj pristupnoj tački i tunel ostane dole. Nova veza je zaseban konfiguracijski objekat sa sopstvenim UUID-om i nema razloga da zna za vezu koju ste napravili za njenog prethodnika. Ništa se nije pokvarilo; veza jednostavno nikada nije postojala.

Referenca za veze u NetworkManageru definiše sekundarne kao UUID-ove koji se aktiviraju zajedno s određenom osnovnom vezom. Takođe napominje da obični VPN profili ne implementiraju automatsku aktivaciju kao osnovne veze. Obje tvrdnje vode do istog zaključka: veza je po profilu, i neko je mora napraviti za svaki novi.

Šta sekundarna veza zapravo jeste

Osnovna veza ima identitet, UUID i listu sekundarnih. Kada se aktivira, menadžer takođe aktivira te sekundarne redom, i tako VPN prati Wi-Fi mrežu bez ručnog klika. Odnos živi na osnovnoj vezi, zapisan kao UUID stringovi, a ne kao imena. Taj izbor predstave nije slučajan; on je ono što vezi omogućava da preživi preimenovanje.

Taj detalj o imenima važniji je nego što izgleda. Preimenovanje VPN profila ostavlja njegov UUID netaknutim, pa postojeće veze nastavljaju da rade. Brisanje starog profila i uvoz novog stvara novi UUID, a svaka veza koja je pokazivala na stari sada ne pokazuje ni na šta.

Pregledajte postojeću listu prije dodavanja. Kućni profil s jednom sekundarnom nije pravilo koje odgovara svakom SSID-u; to je jedan red u jednom objektu i neće se konsultovati kada se aktivira druga osnova.

Smjestite vezu tamo gdje se profili stvaraju

Na ličnom računaru učinite pripajanje predviđene sekundarne dijelom dodavanja svakog dozvoljenog Wi-Fi profila. To je navika, a ne funkcija, ali navika koja stvara dosljedno stanje, i traži jednu komandu ili dvije posjete dijalogu po mreži. Vodite kratku bilješku o tome koje mreže treba da nose tunel, jer lista je politika.

Na upravljanim uređajima neka proces provizioniranja stvori Wi-Fi unos i njegovu VPN vezu u istom koraku, i primijenite isti tretman na dozvoljene profile koji već postoje. Distribuiranje VPN profila samo po sebi ostavlja osnovne odnose neodređenim, i tako flota završi s tunelom koji koristi samo polovina laptopa.

Gdje korisnici još mogu stvarati profile izvan upravljanog puta, izričito odlučite šta se dešava s tim unosima. Pretpostavka da nasljeđuju vezu nije politika; to je nada s pridodatim troškom podrške.

Planirajte promjenu identiteta VPN-a

Izvor provizioniranja treba UUID predviđenog VPN-a, a ne prikazno ime koje je neko pogodio. Kada održavanje zamijeni taj VPN svježe uvezenim objektom, ažurirajte šablon provizioniranja i pogođene postojeće veze u istoj promjeni. Preimenovanje nije zamjena, a tretiranje njih kao ekvivalentnih je način na koji funkcionalno uvođenje pukne sedmicu kasnije.

Čuvajte UUID uz razlog zbog kojeg postoji. Budući inženjer koji nađe goli UUID na listi sekundarnih nema načina da kaže da li je aktuelan i vjerovatno će ga izbrisati dok posprema.

Aktivacija nije provođenje

Zahtjev za sekundarnu dešava se u vrijeme aktivacije. On ne blokira aplikacije tokom intervala prije završetka autentifikacije i ne zaustavlja saobraćaj nakon što tunel padne. To su različita svojstva koja pružaju različiti mehanizmi, a njihovo miješanje stvara dizajn koji izgleda strog u profilu, a popustljiv u praksi.

Blokiranje direktnog saobraćaja je zasebna funkcija sa sopstvenom konfiguracijom i sopstvenim načinima otkaza, i mora uzeti u obzir saobraćaj koji mora doći do mreže prije nego što ikakav tunel postoji: captive portali, stranice za prijavu, sam endpoint. Politika blokiranja koja se ne može ispuniti prije autentifikacije zaključava mašinu izvan upravo one mreže koja joj je potrebna.

Stavite tu razliku u uputstva koja korisnici zaista čitaju. Nova Wi-Fi mreža može zatražiti tunel; provođenje odlučuje smije li nešto izaći kada se ne može povezati. Korisnici kojima je ispričana samo prva polovina prijaviće dizajn kao pokvaren.

Testirajte sa zaista novim profilom

Koristite odobrenu testnu mrežu i novoizrađeni osnovni profil, a ne kućni unos koji već radi. Posmatrajte aktivaciju osnove, traženi UUID sekundarne i svaki upit za autentifikaciju redom, i zabilježite u kojoj se fazi zaglavi kada se zaglavi. Tajni agent koji postane dostupan nakon prijave na radnu površinu nije automatski prisutan u svakom kontekstu pokretanja, pa ponovno pokretanje pripada planu testiranja. Zatim provjerite predviđeni resurs i put otkaza: podiže li se tunel prije nego što aplikaciji zatreba, i šta se dešava s tom aplikacijom kada autentifikacija ne uspije?

Zatim provjerite predviđeni resurs i put otkaza: podiže li se tunel prije nego što aplikaciji zatreba, i šta se dešava s tom aplikacijom kada tunel ne može da se autentifikuje? Ta dva zapažanja su kriteriji prihvatanja i nijedno od njih nije vidljivo u samom profilu.