Libertine dóna a Ubuntu Touch una VPN per a tot el telèfon?

A Ubuntu Touch es fan dues preguntes com si fos una: funcionarà aquest paquet d'escriptori i tindrà el telèfon una VPN. El contenidor respon la primera. Res dins seu respon la segona, perquè un contenidor té la seva pròpia visió del sistema de fitxers mentre que la pila de xarxa i la seva política pertanyen al telèfon. Seguiu on viu cada peça abans de prometre un flux de treball.

Dues preguntes que semblen una

Executar una aplicació d'escriptori dins d'un contenidor és una fita d'empaquetatge. Fer que el gestor de connexions del telèfon estableixi un túnel, el mantingui durant la suspensió i decideixi què passa quan cau és feina de plataforma. Un instal·lador que acaba dins del contenidor només demostra que les dependències s'hi han resolt. No diu res sobre si el telèfon té un connector VPN aprovat, si el túnel sobreviu a un reinici o quines aplicacions l'utilitzen.

Manteniu les dues coses en frases separades a qualsevol avaluació. Ajuntar-les és com una demostració de laboratori es converteix en un compromís de suport que ningú pot complir.

Què aporta realment la frontera del contenidor

Un contenidor Libertine és un entorn d'escriptura superposat a un telèfon el sistema base del qual és només de lectura. Per això instal·lar-hi un paquet funciona, i per això la mateixa instal·lació al sistema base no funciona. També executa aplicacions en primer pla, integrades amb la pantalla del telèfon, i explícitament no és una manera d'executar programari de servidor ni de mantenir un procés viu en segon pla. Aquestes restriccions importen per a un client VPN, que ha de romandre actiu.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

El llistat mostra quins contenidors existeixen, i l'ordre info informa de la distribució i de l'estat d'instal·lació. L'ordre launch us dona un intèrpret d'ordres a dins, que és el lloc correcte per inspeccionar què ha instal·lat realment el paquet. El que no us dona és autoritat sobre la xarxa del telèfon. Un binari dins del contenidor que vulgui crear un túnel necessita una interfície privilegiada, i aquesta interfície pertany a la plataforma, no al contenidor.

On viu l'estat de xarxa del telèfon

Els noms, les rutes i els perfils de connexió els gestiona el servei de xarxa del telèfon, fora de qualsevol contenidor. Una entrada de túnel hi apareix només quan la plataforma admet aquell tipus de VPN i l'operador ha instal·lat el connector corresponent.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

El llistat de connexions és la resposta autoritzada a si hi ha un perfil VPN en aquest telèfon. Si el vostre túnel no hi és, cap quantitat de feina dins del contenidor el farà aparèixer. La consulta de ruta respon una pregunta més estreta: quina interfície faria servir aquest telèfon per a una destinació. Aquesta és la comprovació que cal repetir després de qualsevol canvi, perquè un perfil pot existir i tot i així no ser el camí que pren una aplicació concreta.

Llegiu un flux de treball de principi a fi

Trieu la tasca real, com ara arribar a una base de dades privada amb un client d'escriptori. Després seguiu el flux: l'aplicació arrenca al contenidor, resol el nom d'amfitrió amb el resolutor que faci servir el telèfon, obre un sòcol i l'encaminament del telèfon decideix quina interfície el porta. Cada pas té un amo. El contenidor posseeix l'aplicació, la plataforma posseeix el resolutor i l'encaminament, i el punt final de la VPN posseeix l'autenticació. Una fallada en qualsevol pas és una fallada d'aquell pas, no de tota la idea.

Proveu el nom d'amfitrió privat i l'adreça privada per separat. Un nom que es resol a una adreça pública i una adreça que s'encamina cap a un túnel són observacions diferents, i confondre-les produeix un informe que no es pot reproduir.

Què cal registrar quan la resposta és no

De vegades la conclusió honesta és que aquest telèfon, en aquesta versió, no pot portar el flux de treball. Escriviu-ho amb les proves: quins tipus de connexió ofereix la plataforma, quins clients s'han provat i en quin pas s'ha fallat.

Després exposeu l'alternativa acceptada, sigui un altre dispositiu, un altre mètode d'accés o una tasca més estreta que es quedi dins del contenidor sense tocar xarxes privades.

Resistiu la temptació de remuntar el sistema base o de concedir privilegis sense explicació per reproduir una recepta antiga. Un telèfon que arrenca no és el mateix que un telèfon sobre la política de xarxa del qual encara podeu raonar sis mesos després.