Teisene VPN kuulub ühele Wi-Fi-profiilile, mitte kõigile

Seadistage VPN koduse Wi-Fi-ühenduse teiseseks ja kõik töötab, kuni sülearvuti liitub teise juurdepääsupunktiga ja tunnel jääb alla. Uus ühendus on eraldi konfiguratsiooniobjekt oma UUID-ga ja sellel pole põhjust teada sidet, mille lõite selle eelkäija jaoks. Miski ei läinud rikki; seost lihtsalt ei olnud kunagi olemas.

NetworkManageri ühenduste viide määratleb teiseseid UUID-dena, mis aktiveeritakse koos kindla baasühendusega. Samuti märgib see, et tavalised VPN-profiilid ei rakenda automaatset aktiveerimist nii nagu baasühendused. Mõlemad väited viivad sama järelduseni: seos on profiilipõhine ja keegi peab selle iga uue jaoks looma.

Mis teisene tegelikult on

Baasühendusel on identiteet, UUID ja teiseste loend. Kui see aktiveerub, aktiveerib haldur ka need teisesed järjekorras, ja nii järgib VPN Wi-Fi-võrku ilma käsitsi klõpsuta. Suhe elab baasühendusel ja on kirjutatud UUID-stringidena, mitte nimedena. See esituse valik pole juhuslik; just see laseb seosel ümbernimetamise üle elada.

See nimede detail on tähtsam, kui tundub. VPN-profiili ümbernimetamine jätab selle UUID puutumata, nii et olemasolevad seosed töötavad edasi. Vana profiili kustutamine ja uue importimine loob uue UUID, ja iga seos, mis osutas vanale, ei osuta nüüd millelegi.

Enne lisamist uurige olemasolevat loendit. Ühe teisese elemendiga kodune profiil ei ole reegel, mis sobib igale SSID-le; see on üks rida ühes objektis ja seda ei küsitleta, kui aktiveerub teine baas.

Pange seos sinna, kus profiile luuakse

Isiklikus masinas tehke kavandatud teisese külge kinnitamine iga lubatud Wi-Fi-profiili lisamise osaks. See on harjumus, mitte funktsioon, kuid harjumus, mis annab ühtse oleku, ja see nõuab võrgu kohta ühe käsu või kaks dialoogikülastust. Hoidke lühike märge selle kohta, millised võrgud peaksid tunnelit kandma, sest loend on poliitika.

Hallatavatel seadmetel laske tarnevoogul luua Wi-Fi-kirje ja selle VPN-seos sama sammuga ning rakendage sama kohtlemist juba olemasolevatele lubatud profiilidele. Ainult VPN-profiili levitamine jätab baassuhted määratlemata ja nii jääb pargile tunnel, mida kasutab vaid pool sülearvutitest.

Kui kasutajad saavad ikka luua profiile väljaspool hallatavat teed, otsustage selgesõnaliselt, mis nende kirjetega juhtub. Eeldus, et nad pärivad seose, ei ole poliitika; see on lootus, millel on tugikulu.

Planeerige VPN-i identiteedi muutumist

Tarneallikas vajab kavandatud VPN-i UUID-d, mitte kellegi oletatud kuvamisnime. Kui hooldus asendab selle VPN-i värskelt imporditud objektiga, uuendage tarnešablooni ja mõjutatud olemasolevaid seoseid samas muudatuses. Ümbernimetamine ei ole asendamine ja nende kahe samaväärseks pidamine on viis, kuidas töötav juurutamine nädal hiljem katki läheb.

Hoidke UUID selle olemasolu põhjuse kõrval. Tulevane insener, kes leiab teiseste loendist palja UUID, ei saa kuidagi öelda, kas see on ajakohane, ja kustutab selle tõenäoliselt koristades.

Aktiveerimine ei ole jõustamine

Teisese taotlus toimub aktiveerimise ajal. See ei blokeeri rakendusi ajavahemikul enne autentimise lõppemist ega peata liiklust pärast tunnelitõrget. Need on erinevad omadused, mida pakuvad erinevad mehhanismid, ja nende segamine annab disaini, mis näeb profiilis range välja ja on praktikas lubav.

Otsese liikluse blokeerimine on eraldi funktsioon oma konfiguratsiooni ja oma tõrerežiimidega ning see peab arvestama liiklust, mis peab jõudma võrku enne, kui ükskõik milline tunnel saab tekkida: captive-portaalid, sisselogimislehed, lõpp-punkt ise. Blokeerimispoliitika, mida ei saa enne autentimist täita, lukustab masina välja just sellest võrgust, mida ta vajab.

Pange see eristus juhistesse, mida kasutajad tegelikult loevad. Uus Wi-Fi-võrk võib tunnelit küsida; jõustamine otsustab, kas midagi tohib välja minna, kui ühendust ei saa. Kasutajad, kellele räägitakse ainult esimest poolt, teatavad disainist kui rikkis olevast.

Testige tõeliselt uue profiiliga

Kasutage heakskiidetud testvõrku ja vastloodud baasprofiili, mitte kodust kirjet, mis juba töötab. Jälgige baasi aktiveerimist, nõutud teisese UUID-d ja mis tahes autentimiskutset järjestikku ning märkige, millises etapis asi kinni jääb, kui see kinni jääb. Salajane agent, mis muutub kättesaadavaks pärast töölaua sisselogimist, ei ole automaatselt igas käivituskontekstis olemas, seega kuulub taaskäivitus testiplaani. Seejärel kontrollige kavandatud ressurssi ja tõrketeed: kas tunnel tõuseb enne, kui rakendus seda vajab, ja mis juhtub selle rakendusega, kui autentimine ebaõnnestub?

Seejärel kontrollige kavandatud ressurssi ja tõrketeed: kas tunnel tõuseb enne, kui rakendus seda vajab, ja mis juhtub selle rakendusega, kui tunnel ei saa autentida? Need kaks tähelepanekut on vastuvõtukriteeriumid ja kumbki neist ei ole profiilis endas nähtav.