Leveransier-VPN-app fersus NetworkManager: wa is eigner fan de tastân?
In profyl neamt in plugin, net it gedrach fan ’e kliïnt fan ’e leveransier. Yn kaart bringe wa’t registraasje, DNS, blokkearring en bywurkingen hat, foardat jo in beheard laptop omskeakelje.
In profyl ymportearje is net itselde as in kliïnt ferfange. NetworkManager bewarret in plugintype tegearre mei plugin-spesifike gegevens en geheimen, en it plugin dat dat type hat, beslút wat de ferbining dwaan kin. Alles wat de applikaasje fan ’e leveransier derop leit, fan registraasje oant altyd-oan-blokkearring, libbet bûten it bestân. Oft de omskeakeling feilich is, hinget derfan ôf op hokker fan dy lagen jo echt fertrouwe.
It bestân neamt in plugin, net in samling funksjes
De VPN-ynstellingsreferinsje fan NetworkManager beskriuwt in tsjinsttype dat it plugin kiest, plus in ûntrochsichtich gegevenswurdboek en in geheimenwurdboek dat allinnich it plugin ynterpretearret. It profyl is in kontrakt mei ien ymplemintaasje, net in beskriuwing fan gedrach dat elke kliïnt neikrije kin. Twa kliïnten kinne itselde protokol prate en dochs ferskille yn wat se ûnderhannelje en hokker gegevenspaden se oansette. In protokolnamme fertelt jo wat de tunnel is, nea wat de kliïnt deromhinne der mei docht.
Ferlykje dan easken yn stee fan omhulsels. De fraach is net oft it alternatyf ferbine kin, want dat kin it meastentiids; de fraach is oft elke eask dy’t de oarspronklike kliïnt akseptabel makke, de ferhuzing oerlibbet. Skriuw dy easken op foardat jo eat ynstallearje, oars wurdt de ferliking in jacht op wat it earst brekt.
Wat de leveransier-app om de tunnel hinne tafoeget
Kliïnten fan leveransiers bonkelje meastentiids registraasje en apparaatpostuerkontrôles, in twadde-faktortrajekt mei eigen ynterface, altyd-oan-blokkearring, in bywurkingskanaal en styphelpmiddels. In part dêrfan stiet neist it protokol, en in part is in apart produkt dat allinnich in ynstallearder dielt. NetworkManager kin de tunnel en syn routing ferfange, en dispatcher-skripts kinne aksjes ôfstekke as de ferbining fan tastân feroaret. It reprodusearret lykwols gjin blokkearmasine, in sertifikaatfernijingsproses of in oanname oer hokker brûker de ferbining opbringe mei.
Mear komponinten betsjutte net feiliger, en minder betsjutte net swakker. De fraach is hokker komponint it belied hanthavent dat jo sein waard te folgjen. As in auditor freget wat ferkear blokkearret as de tunnel falt, moat it antwurd eat neame dat it echt docht, en in profyl dat allinnich ferbynt is dat antwurd net.
Wêr’t eigendom echt ferskilt
Lês dit as in eigendomskaart yn stee fan in checklist, want de flaters hjirûnder binne eigendomsgatten en gjin hoemannichte kliïntkonfiguraasje slút se. Eltse rige neamt de laach, de kant dy’t it hjoed meastentiids hat, en wêr’t it gat earst sichtber wurdt.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Keppelje elke rige oan in observaasje dy’t jo werhelje kinne, net oan in gefoel oer de kliïnt. In namme dy’t fia de bedoelde resolver oplost is, in rûte dy’t ferdwynt as de tunnel stopt, en in blokkearre ferbining nei in simulearre útfal binne trije observaasjes dy’t tegearre it grutste part fan ’e tabel dekke. Skriuw de observaasje njonken de eask dy’t it bewiist, en hâld dy’t mislearre, want in mislearre observaasje is it iennichste part fan ’e registraasje dat it folgjende ynsidint foarseit.
Omskeakelje sûnder oerlaapjend eigendom
De kliïnt fan ’e leveransier en in NetworkManager-ferbining foar deselde tsjinst tagelyk rinne litte is de meast foarkommende manier wêrop dizze ferlikingen misgeane. Beide ynstallearje rûtes, beide kinne DNS sette, en beide kinne de tastân fan ’e firewall oanreitsje. Wat jo dan mjitte is in tredde opstelling dy’t by it dokumintearre gedrach fan gjin fan beide kliïnten past.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"It earste kommando fertelt oft it profyl wol in VPN-type is. It twadde toant it tsjinsttype fan it plugin en hokker geheimen bewarre binne, wat fan belang is as in kaai fan in agent yn stee fan it bestân ferwachte wurdt. It sjoernaal is it plak dêr’t in plugin dat laden is mar net ûnderhannelje koe, dat sizze sil. As gjin fan ’e trije in probleem toant, sit it gat yn ’e beliedslagen boppe de tunnel, net yn ’e ferbining.
Ferbrûk de âlde kliïnt foardat jo de nije ferbining ynskeakelje, hâld einpunten en akkount identyk, en skriuw op hokker komponint eigner is fan rûtes, resolver-ynstellingen en blokkearring. Dy notysje is wat foarkomt dat de folgjende bywurking mei twa eigners einiget.