Giver Libertine Ubuntu Touch en VPN for hele telefonen?

På Ubuntu Touch stilles to spørgsmål som ét: vil denne skrivebordspakke køre, og får telefonen en VPN. Containeren besvarer det første. Intet i den besvarer det andet, for en container har sit eget syn på filsystemet, mens netværksstakken og dens politik tilhører telefonen. Følg, hvor hver del bor, før du lover et arbejdsforløb.

To spørgsmål, der ser ud som ét

At køre et skrivebordsprogram i en container er en pakningsbedrift. At få telefonens forbindelsesadministrator til at oprette en tunnel, holde den gennem dvale og beslutte, hvad der sker, når den falder, er platformarbejde. Et installationsprogram, der fuldføres inde i containeren, beviser kun, at afhængighederne blev løst der. Det siger intet om, hvorvidt telefonen har et godkendt VPN-plugin, om tunnelen overlever en genstart, eller hvilke programmer der bruger den.

Hold de to i adskilte sætninger i enhver vurdering. At slå dem sammen er, hvordan en laboratoriedemo bliver en supportforpligtelse, som ingen kan opfylde.

Hvad containergrænsen egentlig leverer

En Libertine-container er et skrivbart miljø lagt oven på en telefon, hvis basissystem er skrivebeskyttet. Det er derfor, det overhovedet virker at installere en pakke der, og hvorfor den samme installation på basissystemet ikke virker. Den kører også programmer i forgrunden, integreret med telefonens skærm, og den er udtrykkeligt ikke en måde at køre serversoftware på eller holde en proces i live i baggrunden. De begrænsninger betyder noget for en VPN-klient, som forventes at forblive oppe.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Oplistningen viser, hvilke containere der findes, og info-kommandoen rapporterer distributionen og installationstilstanden. launch-kommandoen giver dig et shell indeni, og det er det rigtige sted at undersøge, hvad pakken faktisk installerede. Det, den ikke giver dig, er myndighed over telefonens netværk. En binær inde i containeren, der vil oprette en tunnel, har brug for en privilegeret grænseflade, og den grænseflade tilhører platformen, ikke containeren.

Hvor telefonens netværkstilstand bor

Navne, ruter og forbindelsesprofiler administreres af telefonens netværkstjeneste, uden for enhver container. En tunnelpost vises kun der, når platformen understøtter den VPN-type, og operatøren har installeret det tilsvarende plugin.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Forbindelseslisten er det autoritative svar på, om der findes en VPN-profil på denne telefon. Hvis din tunnel mangler på den liste, vil intet arbejde inde i containeren få den til at dukke op. Ruteopslaget besvarer et snævrere spørgsmål: hvilken grænseflade denne telefon ville bruge til én destination. Det er den kontrol, der skal gentages efter enhver ændring, for en profil kan findes og alligevel ikke være den vej, et givet program tager.

Læs et arbejdsforløb fra ende til anden

Vælg den virkelige opgave, for eksempel at nå en privat database med en skrivebordsklient. Følg derefter flowet: programmet starter i containeren, opløser værtsnavnet gennem den resolver, telefonen bruger, åbner en socket, og telefonens routing afgør, hvilken grænseflade der bærer den. Hvert trin har en ejer. Containeren ejer programmet, platformen ejer resolveren og routingen, og VPN-endepunktet ejer godkendelsen. En fejl på et hvilket som helst trin er en fejl i det trin, ikke i hele ideen.

Test det private værtsnavn og den private adresse hver for sig. Et navn, der opløses til en offentlig adresse, og en adresse, der routes ind i en tunnel, er forskellige observationer, og at forveksle dem giver en rapport, der ikke kan genskabes.

Hvad der skal noteres, når svaret er nej

Nogle gange er den ærlige konklusion, at denne telefon på denne udgivelse ikke kan bære arbejdsforløbet. Skriv det ned med beviserne: hvilke forbindelsestyper platformen tilbyder, hvilke klienter der blev prøvet, og hvilket trin der fejlede.

Angiv derefter det accepterede alternativ, hvad enten det er en anden enhed, en anden adgangsmetode eller en snævrere opgave, der bliver inde i containeren uden at røre private netværk.

Modstå fristelsen til at genmontere basissystemet eller give uforklarede privilegier for at genskabe en gammel opskrift. En telefon, der starter op, er ikke det samme som en telefon, hvis netværkspolitik du stadig kan ræsonnere om et halvt år senere.