ConnMan VPN: chybějící menu je démon, ne protokol

Rozšířená představa je, že systém s ConnManem bez položky VPN na ploše nemá nainstalovanou podporu VPN. Obvykle má podporu pro Wi-Fi a žádnou pro démona VPN, konfiguraci poskytovatele nebo autentizačního agenta, a to jsou tři samostatné nepřítomnosti. Menu je pohled na tyto komponenty, ne funkce sama. Kontrola verze a balení vám jedním příkazem řekne víc než jakýkoli počet hlášení chyb z plochy.

Mýtus: menu je funkce VPN

Začněte nainstalovanou verzí ConnManu a balíčky, které s ní přišly. Hlášení chyby ze staršího vydání popisuje jinou sadu funkcí a jeho citování obvykle skončí tím, že někdo přeinstaluje správce sítě, který se měnit nemusel.

Než cokoli změníte, zapište si, co skutečně máte: binárku démona, adresář poskytovatelů a zda je přítomen agent.

Který démon vlastní tunel

V dokumentaci ConnManu 1.41 pro Debian bookworm je connman-vpnd démon, který spravuje připojení VPN vedle connmand. Vypisuje integrace pro pojmenované pomocníky VPN, včetně OpenVPN a OpenConnect. Ten seznam je tvrzení o pomocnících, ne slib, že bude fungovat každý protokol nebo autentizační postup. Čtěte ho jako seznam toho, co ověřit, ne jako záruku kompatibility.

Potom přiřaďte integraci ke schválenému protokolu brány. Slovo Cisco vám neřekne, zda potřebujete připojení ve starém stylu vpnc, nebo postup kompatibilní s AnyConnect, a špatná volba vede k selhání autentizace, které vypadá jako problém s přihlašovacími údaji.

Pokud tunel umí zvednout samostatný pomocník i ConnMan, rozhodněte, kdo vlastní trasy, DNS a životní cyklus, dřív než některý z nich začne.

Nastavení démona nejsou nastavení poskytovatele

Obecná konfigurace démona a konfigurace jednotlivého poskytovatele jsou různé soubory v různých formátech. V dokumentovaném uspořádání bookworm démon čte /etc/connman/connman-vpn.conf, zatímco soubory pro zřizování poskytovatelů leží v /var/lib/connman-vpn/ s příponou .config. Když do toho adresáře vložíte profil OpenVPN, nezmění se tím v soubor pro zřizování v ConnManu. Ten manuál poskytovatele pro tuto verzi popisuje sekce poskytovatele a pole specifická pro typ, která tyto soubory skutečně potřebují.

Překládejte jen přes podporované mapování nainstalované integrace. Důvěra v certifikát, odkazy na soukromý klíč, identita brány, trasy a autentizační vstupy si každý drží svou roli a vzorek pro jiný typ poskytovatele není zaměnitelný jen proto, že oba potřebují adresu serveru.

Když se poskytovatel nenačte, porovnejte jeho pole s manuálem pro nainstalované vydání, ne s příkladem z blogu.

Autentizační agent je samostatná závislost

Definice poskytovatele může přesto potřebovat agenta k získání přihlašovacích údajů nebo k dokončení autentizační výměny. Pro svou integraci s OpenConnect stejný manuál vysvětluje, že chybějící hodnoty související s autentizací lze vyžádat přes VPN Agent API a že krátkodobá cookie obecně není vhodná jako trvalé konfigurační tajemství. Ten mechanismus nezaručuje podporu každého přihlášení v prohlížeči, výzvy MFA nebo kontroly stavu brány. Celý postup potvrďte s tím, kdo nasazení vlastní.

Nekompenzujte chybějícího agenta tím, že heslo nebo token relace zapíšete do široce čitelného souboru. Promění to chybějící integraci v únik přihlašovacích údajů a druhý problém přežije první.

Pokud brána vyžaduje interaktivní přihlášení, je agent součástí návrhu, ne volitelným doplňkem.

Ověřte čtyři výsledky, ne jeden

Po autorizovaném zřízení zkontrolujte čtyři věci odděleně: poskytovatel je vybrán, připojení je autentizováno, efektivní trasy jsou ty, které jste zamýšleli, a překladač se chová podle očekávání. Běžící démon, uvedený poskytovatel a aplikace dosahující na svůj zdroj jsou tři různé výsledky a jen ten poslední je skutečný cíl uživatele. Když je zaznamenáte odděleně, řekne vám to, kterou fázi opravit.

Zahrňte do té kontroly chování při opětovném připojení a požadovanou politiku stavu nedostupnosti, protože tunel, který se jednou zvedne a nikdy se neobnoví, není nasazený. Ponechte fungující konfiguraci základní sítě obnovitelnou, dokud integraci VPN měníte.

Nahradit správce Wi-Fi jen kvůli tlačítku je mnohem větší změna, než jakou chybějící operace vyžadovala, a obvykle to je vítězství mýtu.