Šedé ovládání NetworkManageru? Než sáhnete po oprávněních, ověřte vlastnictví

Šedé přepínače VPN v nabídce plochy hlásí, že je něco špatně, a nic o tom co. To je pozorování, ne diagnóza. Stejné mrtvé ovládání mohou způsobit tři různé hranice: NetworkManager nemusí zařízení vlastnit, relace nemusí mít oprávnění ho změnit nebo zásuvný modul editoru VPN nemusí být vůbec nainstalovaný. Změna špatné hranice je způsob, jak se z pětiminutové opravy stane odpoledne přeinstalovávání balíčků.

Tři příkazy pouze pro čtení oddělí případy dřív, než se cokoli změní.

Položte tři otázky v pořadí

nmcli device status
nmcli general permissions
nmcli connection show

Jsou to inspekční příkazy pro systém, který NetworkManager skutečně používá, a je bezpečné je spouštět jako běžný uživatel. Pokud výstup někam vložíte, udržte soukromé údaje o připojení mimo veřejné záznamy.

Stav zařízení odpovídá, zda je rozhraní spravované a použitelné. Pohled na oprávnění odpovídá, co smí volající relace dělat. Seznam připojení ukazuje, které profily existují; nedokazuje, že je nainstalovaný odpovídající editor VPN nebo zásuvný modul pro import.

Vlastnictví a oprávnění jsou různé závady

Zařízení označené jako nespravované je mimo kontrolu NetworkManageru a žádné množství oprávnění z něj neudělá funkční přepínač. Zásuvný modul ifupdown je častou příčinou: jeho spravované nastavení rozhoduje, jak se zachází se záznamy v souboru interfaces, a zbytková část může držet rozhraní pod starými nástroji. Existence souboru není pokyn k smazání jeho obsahu a mazání záznamů, které jste nenapsali, je dobrý způsob, jak ztratit připojení.

Oprávnění je samostatná osa. NetworkManager autorizuje volající bez rootu přes PolicyKit a hlášená odpověď může být ano, auth nebo ne. Relace bez autentizačního agenta hlásí auth a pak na ploše tiše selže, což vypadá jako rozbité ovládání, ne jako chybějící agent.

Neopravujte ani jedno spuštěním plochy jako root

Spuštění celé relace jako root, aby jeden přepínač fungoval, mění bezpečnostní model každé aplikace na stroji. Také skrývá základní chybnou konfiguraci místo toho, aby ji zdokumentovalo. Pokud akce vyžaduje administrativní autorizaci, je to zamýšlený design a oprava patří do politiky nebo do způsobu, jakým se agent spouští.

Stejně tak nespouštějte druhou kopii NetworkManageru ani konkurenčního démona. Dva správci hádající se o stejné zařízení vytvářejí stav, o kterém se těžko uvažuje a ještě těžko se podporuje. Pokud se druhý démon zdá jediným způsobem, jak získat ovládání zpět, je třeba opravit konfiguraci prvního správce. Zastavte nadbytečného démona, než změníte cokoli jiného, jinak další test změří oba najednou.

Otázka zásuvného modulu se týká i editoru

Vytvoření nebo import připojení VPN vyžaduje zásuvný modul, který daný typ připojení poskytuje, a na ploše obvykle potřebuje i integraci s editorem. Balíček na straně služby může být přítomný, zatímco formulář editoru chybí, a proto položka nabídky může existovat a přesto selhat. Ověřte obě poloviny podle balíčkování distribuce, místo abyste předpokládali, že jeden balíček nainstaluje všechno.

Samostatný klientský binární soubor také není důkaz. Instalace binárky OpenVPN sama o sobě nedá editoru plochy formulář pro vytvoření profilu OpenVPN.

Opravte odpovědnou hranici a pak ověřte

Když víte, která hranice je špatná, změňte jen tu. Označení zařízení jako spravovaného, udělení oprávnění nebo instalace balíčku editoru jsou tři různé operace se třemi různými rizikovými profily a jejich smícháním nelze výsledek připsat. Pokud se má vlastnictví přesunout, udělejte to s dostupným přístupem přes konzoli nebo mimosměrovým přístupem, protože chyba tam může odebrat síť, kterou k opravě používáte.

Potom ověřte se skutečným účtem a skutečným profilem: potvrďte trasu, pohled DNS a kde je uloženo tajemství. Zapnutá tlačítka jsou stav rozhraní, ne důkaz, že tunel funguje. Zapište stav zařízení, odpověď o oprávnění a verzi zásuvného modulu do tiketu, aby další člověk věděl, která hranice se skutečně změnila.