Grå NetworkManager-styring? Kontroller ejerskab før tilladelser

Grå VPN-kontakter i skrivebordsmenuen fortæller, at noget er galt, og intet om hvad. Det er en observation, ikke en diagnose. Tre forskellige grænser kan give samme døde kontrol: NetworkManager ejer måske ikke enheden, sessionen mangler måske tilladelsen til at ændre den, eller VPN-editorpluginnet er måske slet ikke installeret. At ændre den forkerte grænse er, hvordan en fem-minutters rettelse bliver en eftermiddag med geninstallation af pakker.

Tre skrivebeskyttede kommandoer adskiller sagerne, før noget ændres.

Stil de tre spørgsmål i rækkefølge

nmcli device status
nmcli general permissions
nmcli connection show

Det er inspektionskommandoer til et system, der faktisk bruger NetworkManager, og de er sikre at køre som almindelig bruger. Hold private forbindelsesoplysninger væk fra offentlige logs, hvis du indsætter outputtet et sted.

Enhedsstatus svarer på, om grænsefladen er styret og brugbar. Tilladelsesvisningen svarer på, hvad den kaldende session må gøre. Forbindelseslisten viser, hvilke profiler der findes; den beviser ikke, at en matchende VPN-editor eller et importplugin er installeret.

Ejerskab og tilladelse er forskellige fejl

En enhed markeret som ikke-styret er uden for NetworkManagers kontrol, og ingen mængde tilladelser vil give en fungerende kontakt. ifupdown-pluginnet er en almindelig årsag: dets styrede indstilling afgør, hvordan poster i interfaces-filen behandles, og en efterladt blok kan holde en grænseflade under det gamle værktøj. Filens eksistens er ikke en instruks om at slette dens indhold, og at fjerne poster, du ikke selv har skrevet, er en god måde at miste forbindelsen.

Tilladelse er en separat akse. NetworkManager autoriserer kaldere uden root via PolicyKit, og det rapporterede svar kan være ja, auth eller nej. En session uden en autentificeringsagent rapporterer auth og fejler derefter lydløst på skrivebordet, hvilket ser ud som en ødelagt kontrol snarere end en manglende agent.

Ret ikke nogen af dem ved at køre skrivebordet som root

At køre hele sessionen som root for at få én kontakt til at virke ændrer sikkerhedsmodellen for hver applikation på maskinen. Det skjuler også den underliggende fejlkonfiguration i stedet for at dokumentere den. Hvis en handling kræver administrativ autorisation, er det den tilsigtede konstruktion, og rettelsen hører i politikken eller i måden, agenten startes på.

Ligeledes skal du ikke starte en anden kopi af NetworkManager eller en konkurrerende dæmon. To managere, der slås om den samme enhed giver en tilstand, der er svær at ræsonnere om og endnu sværere at understøtte. Hvis en anden dæmon ser ud som den eneste måde at få en kontrol tilbage, er den første managers konfiguration det, der skal rettes. Stop den ekstra dæmon, før du ændrer noget andet, ellers måler den næste test dem begge på én gang.

Plugin-spørgsmålet handler også om editoren

Oprettelse eller import af en VPN-forbindelse kræver det plugin, der leverer den forbindelsestype, og på et skrivebord kræver det normalt også en editorintegration. Tjenestesidens pakke kan være til stede, mens editorens formular mangler, og derfor kan en menupost eksistere og alligevel fejle. Kontroller begge halvdele mod distributionens pakning i stedet for at antage, at én pakke installerer alt.

En selvstændig klientbinær er heller ikke bevis. At installere en OpenVPN-binær giver ikke i sig selv skrivebordseditoren en formular til at oprette en OpenVPN-profil.

Ret den ansvarlige grænse, og verificér derefter

Når du ved, hvilken grænse der er forkert, skal du kun ændre den. At markere en enhed som styret, give en tilladelse eller installere en editorpakke er tre forskellige operationer med tre forskellige risikoprofiler, og at blande dem gør resultatet umuligt at tilskrive. Hvis ejerskabet skal flyttes, så gør det med konsol- eller out-of-band-adgang tilgængelig, fordi en fejl der kan fjerne det netværk, du bruger til at rette det.

Verificér derefter med den rigtige konto og den rigtige profil: bekræft ruten, DNS-visningen og hvor hemmeligheden er gemt. Aktiverede knapper er en grænsefladetilstand, ikke bevis for at en tunnel virker. Notér enhedsstatus, tilladelsessvaret og pluginversionen i billetten, så den næste person ved, hvilken grænse der faktisk blev ændret.