Provizanta VPN-aplikaĵo kontraŭ NetworkManager: kiu posedas la staton?
Profilo nomas kromprogramon, ne la konduton de la provizanta kliento. Mapu, kiu posedas aliĝon, DNS, blokadon kaj ĝisdatigojn antaŭ ol ŝanĝi administritan tekkomputilon.
Importi profilon ne samas kiel anstataŭigi klienton. NetworkManager konservas kromprograman tipon kune kun kromprogramaj datumoj kaj sekretoj, kaj la kromprogramo, kiu posedas tiun tipon, decidas, kion la konekto povas fari. Ĉio, kion la aplikaĵo de la provizanto sternas supre, de aliĝo ĝis daŭra blokado, vivas ekster la dosiero. Ĉu la ŝanĝo estas sekura, dependas de tio, je kiuj el tiuj tavoloj vi vere fidas.
La dosiero nomas kromprogramon, ne aron da funkcioj
La referenco pri VPN-agordoj de NetworkManager priskribas servotipon, kiu elektas la kromprogramon, kune kun netravidebla datuma vortaro kaj sekreta vortaro, kiujn interpretas nur la kromprogramo. La profilo estas kontrakto kun unu efektivigo, ne priskribo de konduto, kiun iu ajn kliento povas reprodukti. Du klientoj povas paroli la saman protokolon kaj tamen malsami en tio, kion ili intertraktas kaj kiujn datumvojojn ili ebligas. Protokola etikedo diras al vi, kio estas la tunelo, neniam kion la ĉirkaŭa kliento faras kun ĝi.
Komparu do postulojn anstataŭ ĉirkaŭaĵojn. La demando ne estas, ĉu la alternativo povas konekti, ĉar ĝi kutime povas; ĝi estas, ĉu ĉiu postulo, kiu igis la originan klienton akceptebla, postvivas la transiron. Skribu tiujn postulojn antaŭ ol instali ion ajn, alie la komparo fariĝas ĉaso al tio, kio rompiĝos unue.
Kion la provizanta aplikaĵo aldonas ĉirkaŭ la tunelo
Provizantaj klientoj kutime kunigas aliĝon kaj kontrolojn de aparata stato, dufaktoran fluon kun propra interfaco, daŭran blokadon, ĝisdatigan kanalon kaj subtenajn ilojn. Parto de tio staras apud la protokolo, kaj parto estas aparta produkto, kiu nur dividas instalilon. NetworkManager povas anstataŭigi la tunnelon kaj ĝian vojigon, kaj dissendaj skriptoj povas ekigi agojn, kiam la stato de la konekto ŝanĝiĝas. Ĝi tamen ne reproduktas blokadan maŝinon, atestilan renovigan fluon aŭ supozon pri tio, kiu uzanto rajtas starigi la konekton.
Pli da komponantoj ne signifas pli sekure, kaj malpli ne signifas pli malforte. La demando estas, kiu komponanto plenumas la politikon, kiun oni diris al vi sekvi. Se revizoro demandas, kio blokas trafikon, kiam la tunelo falas, la respondo devas nomi ion, kio vere faras tion, kaj profilo, kiu nur konektas, ne estas tiu respondo.
Kie posedo vere diferencas
Legu ĉi tion kiel posedan mapon, ne kiel kontrolan liston, ĉar la malsukcesoj sube estas posedaj breĉoj kaj neniu kvanto da klienta agordo fermas ilin. Ĉiu vico nomas la tavolon, la flankon, kiu kutime tenas ĝin hodiaŭ, kaj kie la breĉo aperas unue.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Parigu ĉiun vicon kun observo, kiun vi povas ripeti, ne kun sento pri la kliento. Nomo solvita per la celata solvilo, vojo, kiu malaperas, kiam la tunelo haltas, kaj blokita konekto post simulita interrompo estas tri observoj, kiuj kune kovras la plej grandan parton de la tabelo. Skribu la observon apud la postulo, kiun ĝi pruvas, kaj konservu la malsukcesintajn, ĉar malsukcesinta observo estas la sola parto de la registro, kiu antaŭdiras la sekvan incidenton.
Ŝanĝi sen interkovra posedo
Ruli la provizantan klienton kaj NetworkManager-konekton por la sama servo samtempe estas la plej ofta maniero, kiel ĉi tiuj komparoj eraras. Ambaŭ instalas vojojn, ambaŭ povas agordi DNS, kaj ambaŭ povas tuŝi fajroŝirmilan staton. Kion vi tiam mezuras, estas tria aranĝo, kiu kongruas kun la dokumentita konduto de neniu el la du klientoj.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"La unua komando diras, ĉu la profilo entute estas VPN-tipo. La dua montras la servotipon de la kromprogramo kaj kiujn sekretojn oni konservis, kio gravas, kiam ŝlosilo estas atendata de agento anstataŭ el la dosiero. La ĵurnalo estas la loko, kie kromprogramo, kiu ŝargiĝis sed malsukcesis intertrakti, diros tion. Se neniu el la tri montras problemon, la breĉo sidas en la politikaj tavoloj super la tunelo, ne en la konekto.
Malkonektu la malnovan klienton antaŭ ol ebligi la novan konekton, tenu finpunktojn kaj konton identaj, kaj notu, kiu komponanto posedas vojojn, solvilajn agordojn kaj blokadon. Tiu noto estas tio, kio malhelpas la sekvan ĝisdatigon finiĝi kun du posedantoj.