Γκρι χειριστήριο NetworkManager; Ελέγξτε την ιδιοκτησία πριν από τα δικαιώματα

Οι γκρι διακόπτες VPN στο μενού της επιφάνειας εργασίας αναφέρουν ότι κάτι πάει στραβά και τίποτα για το τι. Αυτό είναι μια παρατήρηση, όχι μια διάγνωση. Τρία διαφορετικά όρια μπορούν να παραγάγουν το ίδιο νεκρό χειριστήριο: το NetworkManager μπορεί να μην κατέχει τη συσκευή, η συνεδρία μπορεί να μην έχει την άδεια να την αλλάξει ή το πρόσθετο επεξεργαστή VPN μπορεί να μην είναι καθόλου εγκατεστημένο. Η αλλαγή του λάθος ορίου είναι ο τρόπος με τον οποίο μια διόρθωση πέντε λεπτών γίνεται ένα απόγευμα επανεγκατάστασης πακέτων.

Τρεις εντολές μόνο για ανάγνωση χωρίζουν τις περιπτώσεις πριν αλλάξει οτιδήποτε.

Κάντε τις τρεις ερωτήσεις με τη σειρά

nmcli device status
nmcli general permissions
nmcli connection show

Είναι εντολές επιθεώρησης για ένα σύστημα που χρησιμοποιεί πραγματικά το NetworkManager και είναι ασφαλείς για εκτέλεση ως απλός χρήστης. Κρατήστε τις ιδιωτικές λεπτομέρειες σύνδεσης έξω από δημόσια αρχεία καταγραφής αν επικολλήσετε την έξοδο κάπου.

Η κατάσταση της συσκευής απαντά αν η διεπαφή διαχειρίζεται και είναι χρησιμοποιήσιμη. Η προβολή δικαιωμάτων απαντά τι επιτρέπεται να κάνει η καλούσα συνεδρία. Η λίστα συνδέσεων δείχνει ποια προφίλ υπάρχουν· δεν αποδεικνύει ότι είναι εγκατεστημένος ένας αντίστοιχος επεξεργαστής VPN ή ένα πρόσθετο εισαγωγής.

Η ιδιοκτησία και το δικαίωμα είναι διαφορετικές βλάβες

Μια συσκευή που έχει σημανθεί ως μη διαχειριζόμενη βρίσκεται έξω από τον έλεγχο του NetworkManager και κανένα πλήθος δικαιωμάτων δεν θα παραγάγει λειτουργικό διακόπτη. Το πρόσθετο ifupdown είναι μια συχνή αιτία: η διαχειριζόμενη ρύθμισή του καθορίζει πώς αντιμετωπίζονται οι καταχωρήσεις στο αρχείο interfaces και ένα υπολειπόμενο τμήμα μπορεί να κρατήσει μια διεπαφή κάτω από τα παλιά εργαλεία. Η ύπαρξη του αρχείου δεν είναι εντολή να διαγραφεί το περιεχόμενό του και η αφαίρεση καταχωρήσεων που δεν γράψατε είναι ένας καλός τρόπος να χάσετε τη συνδεσιμότητα.

Το δικαίωμα είναι ξεχωριστός άξονας. Το NetworkManager εξουσιοδοτεί καλούντες χωρίς root μέσω του PolicyKit και η αναφερόμενη απάντηση μπορεί να είναι ναι, auth ή όχι. Μια συνεδρία χωρίς πράκτορα ταυτοποίησης αναφέρει auth και μετά αποτυγχάνει σιωπηλά στην επιφάνεια εργασίας, κάτι που μοιάζει με χαλασμένο χειριστήριο και όχι με απόντα πράκτορα.

Μην διορθώσετε κανένα από τα δύο εκτελώντας την επιφάνεια εργασίας ως root

Η εκτέλεση ολόκληρης της συνεδρίας ως root για να δουλέψει ένας διακόπτης αλλάζει το μοντέλο ασφαλείας κάθε εφαρμογής στο μηχάνημα. Κρύβει επίσης την υποκείμενη λανθασμένη διαμόρφωση αντί να την τεκμηριώσει. Αν μια ενέργεια απαιτεί διαχειριστική εξουσιοδότηση, αυτός είναι ο σχεδιασμός που προβλέπεται και η διόρθωση ανήκει στην πολιτική ή στον τρόπο με τον οποίο ξεκινά ο πράκτορας.

Ομοίως, μην εκκινήσετε δεύτερο αντίγραφο του NetworkManager ή ανταγωνιστικό δαίμονα. Δύο διαχειριστές που μαλώνουν για την ίδια συσκευή παράγουν κατάσταση για την οποία είναι δύσκολο να συλλογιστεί κανείς και ακόμη δυσκολότερο να την υποστηρίξει. Αν ένας δεύτερος δαίμονας μοιάζει ο μόνος τρόπος να πάρετε πίσω ένα χειριστήριο, η διαμόρφωση του πρώτου διαχειριστή είναι αυτό που πρέπει να διορθωθεί. Σταματήστε τον επιπλέον δαίμονα πριν αλλάξετε οτιδήποτε άλλο, αλλιώς η επόμενη δοκιμή θα μετρήσει και τους δύο μαζί.

Το ζήτημα του πρόσθετου αφορά και τον επεξεργαστή

Η δημιουργία ή η εισαγωγή σύνδεσης VPN απαιτεί το πρόσθετο που παρέχει αυτόν τον τύπο σύνδεσης και σε μια επιφάνεια εργασίας συνήθως απαιτεί και ενσωμάτωση επεξεργαστή. Το πακέτο από την πλευρά της υπηρεσίας μπορεί να υπάρχει ενώ η φόρμα του επεξεργαστή λείπει, γι' αυτό μια καταχώρηση μενού μπορεί να υπάρχει και να αποτυγχάνει. Ελέγξτε και τα δύο μισά με βάση τη συσκευασία της διανομής αντί να υποθέσετε ότι ένα πακέτο εγκαθιστά τα πάντα.

Ένα αυτόνομο δυαδικό πελάτη επίσης δεν είναι απόδειξη. Η εγκατάσταση ενός δυαδικού OpenVPN από μόνη της δεν δίνει στον επεξεργαστή της επιφάνειας εργασίας μια φόρμα για τη δημιουργία προφίλ OpenVPN.

Διορθώστε το υπεύθυνο όριο και μετά επαληθεύστε

Μόλις ξέρετε ποιο όριο είναι λάθος, αλλάξτε μόνο εκείνο. Η σήμανση μιας συσκευής ως διαχειριζόμενης, η χορήγηση δικαιώματος ή η εγκατάσταση πακέτου επεξεργαστή είναι τρεις διαφορετικές πράξεις με τρία διαφορετικά προφίλ κινδύνου και η ανάμειξή τους κάνει το αποτέλεσμα αδύνατο να αποδοθεί. Αν η ιδιοκτησία πρέπει να μετακινηθεί, κάντε το με διαθέσιμη πρόσβαση κονσόλας ή εκτός ζώνης, γιατί ένα λάθος εκεί μπορεί να αφαιρέσει το δίκτυο που χρησιμοποιείτε για να το διορθώσετε.

Μετά επαληθεύστε με τον πραγματικό λογαριασμό και το πραγματικό προφίλ: επιβεβαιώστε τη διαδρομή, την προβολή DNS και πού αποθηκεύεται το μυστικό. Τα ενεργοποιημένα κουμπιά είναι κατάσταση διεπαφής, όχι απόδειξη ότι ένα τούνελ λειτουργεί. Καταγράψτε την κατάσταση της συσκευής, την απάντηση δικαιώματος και την έκδοση του πρόσθετου στο δελτίο, ώστε ο επόμενος να ξέρει ποιο όριο άλλαξε πραγματικά.