Ap VPN gwerthwr yn erbyn NetworkManager: pwy sy’n berchen ar y cyflwr?
Mae proffil yn enwi ategyn, nid ymddygiad cleient y gwerthwr. Mapio pwy sy’n berchen ar gofrestru, DNS, blocio a diweddariadau cyn newid gliniadur a reolir.
Nid yw mewngludo proffil yr un peth â disodli cleient. Mae NetworkManager yn storio math o ategyn ynghyd â data a chyfrinachau sy’n benodol i’r ategyn, a’r ategyn sy’n berchen ar y math hwnnw sy’n penderfynu beth y gall y cysylltiad ei wneud. Mae popeth y mae rhaglen y gwerthwr yn ei osod ar ei ben, o gofrestru hyd at flocio parhaus, yn byw y tu allan i’r ffeil. Mae pa un a yw’r newid yn ddiogel yn dibynnu ar ba un o’r haenau hynny rydych chi’n dibynnu arnynt mewn gwirionedd.
Mae’r ffeil yn enwi ategyn, nid set o nodweddion
Mae cyfeirlyfr gosodiadau VPN NetworkManager yn disgrifio math o wasanaeth sy’n dewis yr ategyn, ynghyd â geiriadur data annealladwy a geiriadur cyfrinachau nad yw ond yr ategyn yn eu dehongli. Contract ag un gweithrediad yw’r proffil, nid disgrifiad o ymddygiad y gall unrhyw gleient ei atgynhyrchu. Gall dau gleient siarad yr un protocol ac eto fod yn wahanol yn yr hyn maent yn ei drafod a pha lwybrau data maent yn eu galluogi. Mae label protocol yn dweud wrthych beth yw’r twnnel, byth beth mae’r cleient o’i amgylch yn ei wneud ag ef.
Felly cymharwch ofynion yn hytrach na lapwyr. Nid y cwestiwn yw a all y dewis arall gysylltu, oherwydd fel arfer gall; y cwestiwn yw a yw pob gofyniad a oedd yn gwneud y cleient gwreiddiol yn dderbyniol yn goroesi’r symud. Ysgrifennwch y gofynion hynny cyn gosod unrhyw beth, neu bydd y gymhariaeth yn troi’n helfa am yr hyn sy’n torri gyntaf.
Beth mae ap y gwerthwr yn ei ychwanegu o amgylch y twnnel
Mae cleientiaid gwerthwyr fel arfer yn bwndelu cofrestru a gwiriadau osgo’r ddyfais, llif ail ffactor â’i ryngwyneb ei hun, blocio parhaus, sianel diweddaru ac offer cymorth. Mae rhan o hynny’n sefyll wrth ymyl y protocol, ac mae rhan yn gynnyrch ar wahân sydd ond yn rhannu gosodwr. Gall NetworkManager ddisodli’r twnnel a’i lwybr, a gall sgriptiau dosbarthu sbarduno gweithredoedd pan fydd cyflwr y cysylltiad yn newid. Nid yw’n atgynhyrchu peiriant blocio, llif adnewyddu tystysgrif, na rhagdybiaeth ynghylch pa ddefnyddiwr a gaiff godi’r cysylltiad.
Nid yw mwy o gydrannau’n golygu’n fwy diogel, ac nid yw llai’n golygu’n wannach. Y cwestiwn yw pa gydran sy’n gorfodi’r polisi y dywedwyd wrthych i’w ddilyn. Os bydd archwilydd yn gofyn beth sy’n blocio traffig pan fydd y twnnel yn cwympo, rhaid i’r ateb enwi rhywbeth sy’n gwneud hynny mewn gwirionedd, ac nid proffil sy’n cysylltu’n unig yw’r ateb hwnnw.
Lle mae perchnogaeth yn wahanol mewn gwirionedd
Darllenwch hwn fel map perchnogaeth yn hytrach na rhestr wirio, oherwydd bylchau perchnogaeth yw’r methiannau isod ac nid oes unrhyw faint o ffurfweddiad cleient yn eu cau. Mae pob rhes yn enwi’r haen, yr ochr sy’n ei dal yn aml heddiw, a lle mae’r bwlch yn ymddangos gyntaf.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Parwch bob rhes ag arsylliad y gallwch ei ailadrodd yn hytrach na theimlad am y cleient. Enw a ddatryswyd drwy’r datryswr a fwriadwyd, llwybr sy’n diflannu pan fydd y twnnel yn stopio, a chysylltiad wedi’i flocio ar ôl torri efelychol yw tri arsylliad sydd gyda’i gilydd yn gorchuddio’r rhan fwyaf o’r tabl. Ysgrifennwch yr arsylliad wrth ymyl y gofyniad y mae’n ei brofi, a chadwch y rhai a fethodd, oherwydd arsylliad methiedig yw’r unig ran o’r cofnod sy’n rhagfynegi’r digwyddiad nesaf.
Newid heb orgyffwrdd â pherchnogaeth
Rhedeg cleient y gwerthwr a chysylltiad NetworkManager ar gyfer yr un gwasanaeth ar yr un pryd yw’r ffordd fwyaf cyffredin y mae’r cymariaethau hyn yn mynd o chwith. Mae’r ddau yn gosod llwybrau, gall y ddau osod DNS, a gall y ddau gyffwrdd â chyflwr y wal dân. Yr hyn a fesurwch wedyn yw trydydd trefniant nad yw’n cyfateb i ymddygiad dogfennol y naill gleient na’r llall.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Mae’r gorchymyn cyntaf yn dweud a yw’r proffil yn fath VPN o gwbl. Mae’r ail yn dangos math gwasanaeth yr ategyn a pha gyfrinachau a storiwyd, sy’n bwysig pan ddisgwylir allwedd gan asiant yn lle’r ffeil. Y dyddiadur yw’r lle y bydd ategyn a lwythodd ond a fethodd drafod yn dweud hynny. Os nad yw’r un o’r tri yn dangos problem, mae’r bwlch yn yr haenau polisi uwchben y twnnel, nid yn y cysylltiad.
Datgysylltwch y cleient hen cyn galluogi’r cysylltiad newydd, cadwch y penfeydd a’r cyfrif yn union yr un fath, ac ysgrifennwch pa gydran sy’n berchen ar lwybrau, gosodiadau datryswr a blocio. Y nodyn hwnnw sy’n atal y diweddariad nesaf rhag gorffen â dau berchennog.