Aplikace VPN od dodavatele versus NetworkManager: komu patří stav?
Profil pojmenovává plugin, ne chování klientské aplikace dodavatele. Zmapujte, kdo vlastní registraci, DNS, blokování a aktualizace, než přepnete spravovaný notebook.
Import profilu není totéž jako nahrazení klienta. NetworkManager ukládá typ pluginu spolu s daty a tajemstvími specifickými pro plugin a plugin, kterému tento typ patří, rozhoduje o tom, co může spojení dělat. Vše, co aplikace dodavatele vrství navrch, od registrace po trvalé blokování, žije mimo soubor. Zda je přepnutí bezpečné, závisí na tom, na které z těch vrstev se skutečně spoléháte.
Soubor pojmenovává plugin, ne sadu funkcí
Referenční příručka nastavení VPN v NetworkManageru popisuje typ služby, který vybírá plugin, plus neprůhledný slovník dat a slovník tajemství, které interpretuje jen plugin. Profil je smlouva s jednou implementací, nikoli popis chování, které dokáže reprodukovat jakýkoli klient. Dva klienti mohou mluvit stejným protokolem a přesto se lišit v tom, o čem vyjednávají a které datové cesty zapínají. Označení protokolu vám řekne, co je tunel, nikdy ne to, co s ním dělá okolní klient.
Proto porovnávejte požadavky, ne obaly. Otázka není, zda se alternativa připojí, protože to obvykle umí; jde o to, zda každý požadavek, který činil původního klienta přijatelným, přežije přesun. Zapište ty požadavky, než cokoli nainstalujete, jinak se srovnání změní v hon na to, co praskne první.
Co aplikace dodavatele přidává kolem tunelu
Klientské aplikace dodavatelů obvykle sdružují registraci a kontroly stavu zařízení, tok druhého faktoru s vlastním rozhraním, trvalé blokování, aktualizační kanál a nástroje podpory. Část toho stojí vedle protokolu a část je samostatný produkt, který jen sdílí instalátor. NetworkManager dokáže nahradit tunel a jeho směrování a skripty dispečeru mohou při změně stavu spojení spustit akce. Nereprodukuje však blokovací engine, proces obnovy certifikátu ani předpoklad o tom, který uživatel smí spojení navázat.
Víc součástí neznamená bezpečněji a méně neznamená slaběji. Otázka je, která součást vynucuje politiku, kterou jste měli dodržovat. Když se auditor zeptá, co blokuje provoz, když tunel spadne, odpověď musí pojmenovat něco, co to skutečně dělá, a profil, který se jen připojuje, takovou odpovědí není.
Kde se vlastnictví skutečně liší
Čtěte to jako mapu vlastnictví, ne jako kontrolní seznam, protože selhání níže jsou mezery ve vlastnictví a žádná konfigurace klienta je neuzavře. Každý řádek pojmenovává vrstvu, stranu, která ji dnes obvykle drží, a místo, kde se mezera projeví první.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Ke každému řádku přiřaďte pozorování, které můžete opakovat, ne pocit z klienta. Jméno přeložené zamýšleným resolverem, cesta, která zmizí, když se tunel zastaví, a zablokované spojení po simulovaném výpadku jsou tři pozorování, která dohromady pokrývají většinu tabulky. Napište pozorování vedle požadavku, který dokazuje, a ty neúspěšné si ponechte, protože neúspěšné pozorování je jediná část záznamu, která předpovídá další incident.
Přepnutí bez překrývání vlastnictví
Současné spuštění klientské aplikace dodavatele a spojení NetworkManager pro tutéž službu je nejčastější způsob, jak tato srovnání selžou. Obě instalují trasy, obě mohou nastavit DNS a obě mohou zasáhnout do stavu firewallu. To, co pak měříte, je třetí uspořádání, které neodpovídá dokumentovanému chování ani jednoho z obou klientů.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"První příkaz říká, zda je profil vůbec typu VPN. Druhý ukazuje typ služby pluginu a která tajemství jsou uložena, což je důležité, když se klíč očekává od agenta místo ze souboru. V žurnálu plugin, který se načetl, ale nedokázal vyjednat, řekne, že je to tak. Pokud žádný ze tří problém neukáže, mezera je ve vrstvách politiky nad tunelem, ne ve spojení.
Před zapnutím nového spojení odpojte starého klienta, ponechte koncové body a účet shodné a zapište, která součást vlastní trasy, nastavení resolveru a blokování. Právě ta poznámka brání tomu, aby příští aktualizace skončila se dvěma vlastníky.