En sekundær VPN hører til én Wi-Fi-profil, ikke til alle

Opsæt en VPN som sekundær for hjemmets Wi-Fi-forbindelse, og alt virker, indtil computeren tilslutter sig et andet adgangspunkt, og tunnelen bliver nede. Den nye forbindelse er et separat konfigurationsobjekt med sit eget UUID og har ingen grund til at kende den binding, du oprettede til dens forgænger. Intet gik i stykker; samhørigheden fandtes simpelthen aldrig.

NetworkManagers forbindelsesreference definerer sekundære som UUID'er, der aktiveres sammen med en bestemt basisforbindelse. Den bemærker også, at almindelige VPN-profiler ikke implementerer automatisk aktivering, som basisforbindelser gør. Begge udsagn peger på samme konklusion: samhørigheden gælder hver profil, og nogen skal oprette den for hver ny.

Hvad en sekundær egentlig er

En basisforbindelse har en identitet, et UUID og en liste over sekundære. Når den aktiveres, aktiverer administrationen også disse sekundære i rækkefølge, og det er sådan en VPN følger et Wi-Fi-netværk uden et manuelt klik. Relationen lever på basisforbindelsen, skrevet som UUID-strenge i stedet for navne. Det valg af repræsentation er ikke tilfældigt; det er det, der får samhørigheden til at overleve en omdøbning.

Den detalje om navne betyder mere, end den ser ud til. Omdøbning af en VPN-profil lader dens UUID være urørt, så eksisterende samhørigheder bliver ved med at virke. Sletning af den gamle profil og import af en ny giver et nyt UUID, og enhver samhørighed, der pegede på den gamle, peger nu på intet.

Undersøg den eksisterende liste, før du tilføjer noget. En hjemmeprofil med én sekundær er ikke en regel, der passer på hvert SSID; det er én række i ét objekt, og den bliver ikke konsulteret, når en anden basis aktiveres.

Anbring samhørigheden, hvor profilerne oprettes

På en personlig maskine skal tilknytningen af den tilsigtede sekundære være en del af at tilføje hver tilladt Wi-Fi-profil. Det er en vane snarere end en funktion, men en vane, der giver en ensartet tilstand, og det kræver én kommando eller to dialogbesøg for hvert netværk. Hold en kort note om, hvilke netværk der skal bære tunnelen, for listen er politikken.

På administrerede enheder skal provisioning-workflowet oprette Wi-Fi-posten og dens VPN-samhørighed i samme trin, og anvend samme behandling på tilladte profiler, der allerede findes. Udbredelse af en VPN-profil alene lader basisrelationerne uspecificerede, og det er sådan en flåde ender med en tunnel, som kun halvdelen af computerne bruger.

Hvor brugere stadig kan oprette profiler uden for den administrerede vej, skal I udtrykkeligt beslutte, hvad der sker med de poster. At antage, at de arver en samhørighed, er ikke en politik; det er et håb med en supportudgift.

Planlæg, at VPN'ens identitet ændrer sig

Provisioneringskilden har brug for den tilsigtede VPN's UUID, ikke et visningsnavn, nogen har gættet. Når vedligeholdelse erstatter den VPN med et nyimporteret objekt, skal provisioning-skabelonen og de berørte eksisterende samhørigheder opdateres i samme ændring. En omdøbning er ikke en erstatning, og at behandle de to som ækvivalente er, hvordan en fungerende udrulning brækker en uge senere.

Opbevar UUID'et ved siden af grunden til, at det findes. En fremtidig ingeniør, der finder et bart UUID i en liste over sekundære, kan ikke afgøre, om det er aktuelt, og sletter det sandsynligvis under oprydningen.

Aktivering er ikke håndhævelse

En anmodning om sekundær sker på aktiveringstidspunktet. Den blokerer ikke programmer i intervallet, før godkendelsen er fuldført, og den stopper ikke trafik, efter tunnelen fejler. Det er forskellige egenskaber leveret af forskellige mekanismer, og at blande dem giver et design, der ser strengt ud i profilen og er eftergivende i praksis.

Blokering af direkte trafik er en separat funktion med sin egen konfiguration og sine egne fejltilstande, og den skal tage højde for den trafik, der skal nå netværket, før nogen tunnel kan findes: captive-portaler, login-sider, selve endepunktet. En blokeringspolitik, der ikke kan opfyldes før godkendelse, låser maskinen ude af netop det netværk, den har brug for.

Sæt den sondring ind i de instruktioner, brugerne faktisk læser. Et nyt Wi-Fi-netværk kan bede om tunnelen; håndhævelse afgør, om noget må forlade maskinen, når den ikke kan oprette forbindelse. Brugere, der kun får fortalt den første halvdel, vil rapportere designet som ødelagt.

Test med en virkelig ny profil

Brug et godkendt testnetværk og en nyoprettet basisprofil, ikke hjemmeposten, der allerede virker. Observér basisaktiveringen, det anmodede sekundære UUID og enhver godkendelsesprompt i rækkefølge, og notér, hvilket trin der går i stå, når det går i stå. En hemmelig agent, der bliver tilgængelig efter desktop-login, er ikke automatisk til stede i alle opstartskontekster, så en genstart hører med i testplanen. Kontrollér derefter den tilsigtede ressource og fejlvejen: kommer tunnelen op, før programmet har brug for den, og hvad sker der med det program, når godkendelsen fejler?

Kontrollér derefter den tilsigtede ressource og fejlvejen: kommer tunnelen op, før programmet har brug for den, og hvad sker der med det program, når tunnelen ikke kan godkende? De to observationer er acceptkriterierne, og ingen af dem er synlig i selve profilen.