Dá Libertine a Ubuntu Touch unha VPN para todo o teléfono?

En Ubuntu Touch fanse dúas preguntas como se fosen unha: funcionará este paquete de escritorio e terá o teléfono unha VPN. O contedor responde á primeira. Nada dentro del responde á segunda, porque un contedor ten a súa propia visión do sistema de ficheiros, mentres que a pila de rede e a súa política pertencen ao teléfono. Rastrexa onde vive cada peza antes de prometer un fluxo de traballo.

Dúas preguntas que parecen unha

Executar unha aplicación de escritorio dentro dun contedor é un logro de empaquetado. Conseguir que o xestor de conexións do teléfono estableza un túnel, o manteña durante a suspensión e decida que ocorre cando cae é traballo de plataforma. Un instalador que remata dentro do contedor só demostra que as dependencias se resolveron alí. Non di nada sobre se o teléfono ten un complemento VPN aprobado, se o túnel sobrevive a un reinicio ou que aplicacións o usan.

Manteña ambas as dúas en frases separadas en calquera avaliación. Fundilas é como unha demostración de laboratorio se converte nun compromiso de soporte que ninguén pode cumprir.

Que achega realmente a fronteira do contedor

Un contedor Libertine é unha contorna de escritura superposta a un teléfono cuxo sistema base é só de lectura. Por iso instalar un paquete alí funciona de todo, e por iso a mesma instalación no sistema base non funciona. Tamén executa aplicacións en primeiro plano, integradas coa pantalla do teléfono, e explicitamente non é unha forma de executar software de servidor nin de manter un proceso vivo en segundo plano. Esas restricións importan para un cliente VPN, que se espera que permaneza activo.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

A listaxe mostra que contedores existen, e o comando info informa da distribución e do estado de instalación. O comando launch dálle un intérprete de ordes dentro, que é o lugar correcto para inspeccionar que instalou realmente o paquete. O que non lle dá é autoridade sobre a rede do teléfono. Un binario dentro do contedor que queira crear un túnel necesita unha interface privilexiada, e esa interface pertence á plataforma, non ao contedor.

Onde vive o estado de rede do teléfono

Os nomes, as rutas e os perfís de conexión xestiónaos o servizo de rede do teléfono, fóra de calquera contedor. Unha entrada de túnel aparece alí só cando a plataforma admite ese tipo de VPN e o operador instalou o complemento correspondente.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

A listaxe de conexións é a resposta autorizada a se hai un perfil VPN neste teléfono. Se o seu túnel non está nesa lista, ningunha cantidade de traballo dentro do contedor o fará aparecer. A consulta de ruta responde a unha pregunta máis estreita: que interface usaría este teléfono para un destino. Esa é a comprobación que hai que repetir tras calquera cambio, porque un perfil pode existir e aínda así non ser o camiño que toma unha aplicación concreta.

Lea un fluxo de traballo de principio a fin

Escolla a tarefa real, como chegar a unha base de datos privada cun cliente de escritorio. Despois siga o fluxo: a aplicación arrinca no contedor, resolve o nome de host mediante o resolvedor que use o teléfono, abre un socket e o encamiñamento do teléfono decide que interface o leva. Cada paso ten un dono. O contedor posúe a aplicación, a plataforma posúe o resolvedor e o encamiñamento, e o extremo da VPN posúe a autenticación. Un fallo en calquera paso é un fallo dese paso, non de toda a idea.

Probe o nome de host privado e o enderezo privado por separado. Un nome que resolve a un enderezo público e un enderezo que se encamiña cara a un túnel son observacións distintas, e confundilas produce un informe que non se pode reproducir.

Que rexistrar cando a resposta é non

Ás veces a conclusión honesta é que este teléfono, nesta versión, non pode levar o fluxo de traballo. Anóteo coas probas: que tipos de conexión ofrece a plataforma, que clientes se probaron e en que paso se fallou.

Despois expoña a alternativa aceptada, sexa outro dispositivo, outro método de acceso ou unha tarefa máis estreita que quede dentro do contedor sen tocar redes privadas.

Resista a tentación de remontar o sistema base ou de conceder privilexios sen explicación para reproducir unha receita antiga. Un teléfono que arrinca non é o mesmo que un teléfono sobre cuxa política de rede aínda pode razoar seis meses despois.