Ένα δευτερεύον VPN ανήκει σε ένα προφίλ Wi-Fi, όχι σε όλα

Ρυθμίστε ένα VPN ως δευτερεύον της οικιακής σύνδεσης Wi-Fi και όλα λειτουργούν, μέχρι ο φορητός υπολογιστής να συνδεθεί σε άλλο σημείο πρόσβασης και η σήραγγα να μείνει κάτω. Η νέα σύνδεση είναι ξεχωριστό αντικείμενο διαμόρφωσης με δικό της UUID και δεν έχει λόγο να γνωρίζει τον δεσμό που δημιουργήσατε για τον προκάτοχό της. Τίποτα δεν χάλασε· η σύνδεση απλώς δεν υπήρξε ποτέ.

Η αναφορά συνδέσεων του NetworkManager ορίζει τα δευτερεύοντα ως UUID που ενεργοποιούνται μαζί με μια συγκεκριμένη βασική σύνδεση. Σημειώνει επίσης ότι τα συνηθισμένα προφίλ VPN δεν υλοποιούν αυτόματη ενεργοποίηση όπως οι βασικές συνδέσεις. Και οι δύο δηλώσεις οδηγούν στο ίδιο συμπέρασμα: ο δεσμός είναι ανά προφίλ και κάποιος πρέπει να τον δημιουργήσει για κάθε νέο.

Τι είναι στην πραγματικότητα ένα δευτερεύον

Μια βασική σύνδεση έχει ταυτότητα, UUID και λίστα δευτερευόντων. Όταν ενεργοποιείται, ο διαχειριστής ενεργοποιεί και αυτά τα δευτερεύοντα με σειρά, και έτσι ένα VPN ακολουθεί ένα δίκτυο Wi-Fi χωρίς χειροκίνητο κλικ. Η σχέση ζει στη βασική σύνδεση, γραμμένη ως συμβολοσειρές UUID και όχι ως ονόματα. Αυτή η επιλογή αναπαράστασης δεν είναι τυχαία· είναι αυτό που κάνει τον δεσμό να επιβιώνει από μια μετονομασία.

Αυτή η λεπτομέρεια για τα ονόματα έχει μεγαλύτερη σημασία απ' ό,τι φαίνεται. Η μετονομασία ενός προφίλ VPN αφήνει το UUID του άθικτο, οπότε οι υπάρχοντες δεσμοί συνεχίζουν να λειτουργούν. Η διαγραφή του παλιού προφίλ και η εισαγωγή νέου παράγει νέο UUID, και κάθε δεσμός που έδειχνε στο παλιό τώρα δεν δείχνει σε τίποτα.

Εξετάστε την υπάρχουσα λίστα πριν προσθέσετε. Ένα οικιακό προφίλ με ένα δευτερεύον δεν είναι κανόνας που ταιριάζει σε κάθε SSID· είναι μία γραμμή σε ένα αντικείμενο και δεν θα εξεταστεί όταν ενεργοποιηθεί διαφορετική βάση.

Τοποθετήστε τον δεσμό εκεί όπου δημιουργούνται τα προφίλ

Σε προσωπικό μηχάνημα, κάντε την προσάρτηση του επιδιωκόμενου δευτερεύοντος μέρος της προσθήκης κάθε επιτρεπόμενου προφίλ Wi-Fi. Είναι συνήθεια και όχι λειτουργία, αλλά συνήθεια που παράγει συνεπή κατάσταση, και απαιτεί μία εντολή ή δύο επισκέψεις σε διάλογο ανά δίκτυο. Κρατήστε μια σύντομη σημείωση για το ποια δίκτυα πρέπει να μεταφέρουν τη σήραγγα, γιατί η λίστα είναι η πολιτική.

Σε διαχειριζόμενες συσκευές, αφήστε τη ροή παροχής να δημιουργεί την καταχώριση Wi-Fi και τον δεσμό VPN της στο ίδιο βήμα, και εφαρμόστε την ίδια μεταχείριση στα επιτρεπόμενα προφίλ που υπάρχουν ήδη. Η διανομή ενός προφίλ VPN μόνο του αφήνει τις βασικές σχέσεις απροσδιόριστες, και έτσι ένας στόλος καταλήγει με σήραγγα που χρησιμοποιούν μόνο οι μισοί φορητοί υπολογιστές.

Όπου οι χρήστες μπορούν ακόμη να δημιουργούν προφίλ εκτός της διαχειριζόμενης διαδρομής, αποφασίστε ρητά τι συμβαίνει με αυτές τις καταχωρίσεις. Το να υποθέτετε ότι κληρονομούν δεσμό δεν είναι πολιτική· είναι ελπίδα με συνημμένο κόστος υποστήριξης.

Σχεδιάστε την αλλαγή ταυτότητας του VPN

Η πηγή παροχής χρειάζεται το UUID του επιδιωκόμενου VPN, όχι ένα εμφανιζόμενο όνομα που κάποιος μάντεψε. Όταν η συντήρηση αντικαθιστά αυτό το VPN με ένα πρόσφατα εισαγμένο αντικείμενο, ενημερώστε το πρότυπο παροχής και τους επηρεαζόμενους υπάρχοντες δεσμούς στην ίδια αλλαγή. Η μετονομασία δεν είναι αντικατάσταση, και το να μεταχειρίζεστε τα δύο ως ισοδύναμα είναι το πώς μια λειτουργική ανάπτυξη σπάει μια εβδομάδα αργότερα.

Αποθηκεύστε το UUID δίπλα στον λόγο για τον οποίο υπάρχει. Ένας μελλοντικός μηχανικός που βρίσκει γυμνό UUID σε λίστα δευτερευόντων δεν έχει τρόπο να πει αν είναι τρέχον και πιθανότατα θα το διαγράψει ενώ τακτοποιεί.

Η ενεργοποίηση δεν είναι επιβολή

Ένα αίτημα δευτερεύοντος συμβαίνει τη στιγμή της ενεργοποίησης. Δεν μπλοκάρει τις εφαρμογές στο διάστημα πριν ολοκληρωθεί η πιστοποίηση και δεν σταματά την κίνηση αφού αποτύχει η σήραγγα. Αυτές είναι διαφορετικές ιδιότητες που παρέχονται από διαφορετικούς μηχανισμούς, και η σύγχυσή τους παράγει σχέδιο που φαίνεται αυστηρό στο προφίλ και είναι επιεικές στην πράξη.

Ο αποκλεισμός άμεσης κίνησης είναι ξεχωριστή λειτουργία με δική της διαμόρφωση και δικούς της τρόπους αποτυχίας, και πρέπει να λαμβάνει υπόψη την κίνηση που πρέπει να φτάσει στο δίκτυο πριν υπάρξει οποιαδήποτε σήραγγα: πύλες αιχμαλώτισης, σελίδες σύνδεσης, το ίδιο το τελικό σημείο. Μια πολιτική αποκλεισμού που δεν μπορεί να ικανοποιηθεί πριν την πιστοποίηση κλειδώνει το μηχάνημα έξω από το δίκτυο που ακριβώς χρειάζεται.

Βάλτε αυτή τη διάκριση στις οδηγίες που διαβάζουν πραγματικά οι χρήστες. Ένα νέο δίκτυο Wi-Fi μπορεί να ζητήσει τη σήραγγα· η επιβολή αποφασίζει αν επιτρέπεται να βγει κάτι όταν δεν μπορεί να συνδεθεί. Οι χρήστες στους οποίους λέγεται μόνο το πρώτο μισό θα αναφέρουν το σχέδιο ως χαλασμένο.

Δοκιμάστε με ένα πραγματικά νέο προφίλ

Χρησιμοποιήστε ένα εγκεκριμένο δοκιμαστικό δίκτυο και ένα νεοδημιουργημένο βασικό προφίλ, όχι την οικιακή καταχώριση που λειτουργεί ήδη. Παρατηρήστε την ενεργοποίηση της βάσης, το ζητούμενο UUID δευτερεύοντος και οποιαδήποτε προτροπή πιστοποίησης με σειρά, και σημειώστε σε ποιο στάδιο κολλάει όταν κολλάει. Ένας μυστικός παράγοντας που γίνεται διαθέσιμος μετά τη σύνδεση στην επιφάνεια εργασίας δεν είναι αυτόματα παρών σε κάθε περιβάλλον εκκίνησης, γι' αυτό μια επανεκκίνηση ανήκει στο σχέδιο δοκιμών. Στη συνέχεια ελέγξτε τον επιδιωκόμενο πόρο και τη διαδρομή αποτυχίας: ανεβαίνει η σήραγγα πριν τη χρειαστεί η εφαρμογή, και τι συμβαίνει σε αυτή την εφαρμογή όταν αποτύχει η πιστοποίηση;

Στη συνέχεια ελέγξτε τον επιδιωκόμενο πόρο και τη διαδρομή αποτυχίας: ανεβαίνει η σήραγγα πριν τη χρειαστεί η εφαρμογή, και τι συμβαίνει σε αυτή την εφαρμογή όταν η σήραγγα δεν μπορεί να πιστοποιηθεί; Αυτές οι δύο παρατηρήσεις είναι τα κριτήρια αποδοχής, και καμία από τις δύο δεν είναι ορατή στο ίδιο το προφίλ.