ConnMan VPN: התפריט החסר הוא דמון, לא פרוטוקול

ההנחה הרווחת היא שמערכת ConnMan בלי רשומת VPN בשולחן העבודה לא מותקנת בה תמיכת VPN. בדרך כלל יש בה תמיכה ב־Wi-Fi וכלום עבור דמון ה־VPN, תצורת הספק או סוכן האימות, ואלה שלושה חסרים נפרדים. התפריט הוא תצוגה של הרכיבים האלה, לא התכונה עצמה. בדיקת הגרסה והאריזה מספר לכם בפקודה אחת יותר מכל מספר של דוחות תקלה משולחן העבודה.

המיתוס: התפריט הוא תכונת ה־VPN

התחילו בגרסת ConnMan המותקנת ובחבילות שהגיעו איתה. דוח תקלה מגרסה ישנה מתאר סט תכונות אחר, וציטוט שלו בדרך כלל מסתיים בכך שמישהו מתקין מחדש מנהל רשת שלא היה צריך להחליף.

רשמו מה באמת יש לכם לפני שאתם משנים משהו: הקובץ הבינארי של הדמון, ספריית הספקים והאם קיים סוכן.

איזה דמון מחזיק במנהרה

בתיעוד של ConnMan 1.41 ל־Debian bookworm, connman-vpnd הוא הדמון שמנהל חיבורי VPN לצד connmand. הוא מפרט אינטגרציות עבור עוזרי VPN בעלי שם, כולל OpenVPN ו־OpenConnect. הרשימה הזאת היא הצהרה על העוזרים, לא הבטחה שכל פרוטוקול או תהליך אימות יעבוד. קראו אותה כתפריט של מה לבדוק, לא כערבות לתאימות.

אחר כך התאימו את האינטגרציה לפרוטוקול המאושר של השער. המילה Cisco לא אומרת לכם אם דרוש חיבור בסגנון vpnc ישן או תהליך תואם AnyConnect, ובחירה שגויה מייצרת כשל אימות שנראה כמו בעיית הרשאות.

אם גם עוזר עצמאי וגם ConnMan יכולים להעלות את המנהרה, החליטו מי מהם מחזיק במסלולים, ב־DNS ובמחזור החיים לפני שמישהו מהם מתחיל.

הגדרות הדמון אינן הגדרות הספק

התצורה הכללית של הדמון והתצורה של ספק בודד הן קבצים שונים בפורמטים שונים. בסידור המתועד של bookworm הדמון קורא את /etc/connman/connman-vpn.conf, בעוד שקובצי האספקה של ספקים יושבים תחת /var/lib/connman-vpn/ עם סיומת .config. זריקת פרופיל OpenVPN לספרייה הזאת לא הופכת אותו לקובץ אספקה של ConnMan. מדריך הספק של הגרסה הזאת מתאר את מקטעי הספק ואת השדות הייחודיים לסוג שהקבצים האלה באמת דורשים.

תרגמו רק דרך המיפוי הנתמך של האינטגרציה המותקנת. אמון בתעודה, הפניות למפתח פרטי, זהות השער, מסלולים וקלטי אימות — כל אחד שומר על תפקידו, ודוגמה לסוג ספק אחר אינה ניתנת להחלפה רק מפני ששניהם זקוקים לכתובת שרת.

כשספק לא נטען, השוו את השדות שלו למדריך של הגרסה המותקנת ולא לדוגמה מבלוג.

סוכן האימות הוא תלות נפרדת

הגדרת ספק עדיין עשויה להזדקק לסוכן כדי להשיג הרשאות או להשלים חילופי אימות. עבור האינטגרציה שלו עם OpenConnect, אותו מדריך מסביר שאפשר לבקש ערכים חסרים הקשורים לאימות דרך ה־VPN Agent API, ושה־cookie קצר־מועד אינו מתאים בדרך כלל כסוד תצורה קבוע. המנגנון הזה לא מבטיח תמיכה בכל התחברות בדפדפן, בכל בקשת MFA או בכל בדיקת מצב של השער. אשרו את כל התהליך עם מי שמחזיק בפריסה.

אל תפצו על היעדר סוכן בכך שתכתבו סיסמה או אסימון הפעלה לקובץ קריא לרוחב. זה הופך אינטגרציה חסרה לחשיפה של הרשאות, והבעיה השנייה שורדת יותר מהראשונה.

אם השער דורש התחברות אינטראקטיבית, הסוכן הוא חלק מהתכנון ולא תוספת רשות.

אמתו ארבעה תוצאות, לא אחת

לאחר אספקה מורשית, בדקו ארבעה דברים בנפרד: הספק נבחר, החיבור אומת, המסלולים האפקטיביים הם אלה שהתכוונתם להם, והפותרן מתנהג כמצופה. דמון פועל, ספק רשום ויישום שמגיע למשאב שלו הם שלוש תוצאות שונות, ורק האחרונה היא המטרה האמיתית של המשתמש. תיעוד נפרד שלהן אומר לכם איזה שלב לתקן.

כללו בבדיקה הזאת את התנהגות ההתחברות מחדש ואת מדיניות מצב אי־הזמינות הנדרשת, כי מנהרה שעולה פעם אחת ולא מתאוששת לעולם אינה פרוסה. שמרו על תצורת רשת הבסיס העובדת ככזו שניתן לשחזר בזמן שאתם משנים את אינטגרציית ה־VPN.

החלפת מנהל ה־Wi-Fi כדי לקבל כפתור היא שינוי גדול בהרבה מהפעולה החסרה שנדרשה, ובדרך כלל המיתוס מנצח.