בקרת NetworkManager אפורה? בדקו בעלות לפני הרשאות

מתגי VPN אפורים בתפריט שולחן העבודה מדווחים שמשהו שגוי ושום דבר על מה. זו תצפית, לא אבחנה. שלושה גבולות שונים יכולים ליצור את אותה בקרה מתה: ייתכן ש-NetworkManager אינו הבעלים של ההתקן, ייתכן שלהפעלה אין ההרשאה לשנות אותו, או שתוסף עורך ה-VPN אינו מותקן כלל. שינוי הגבול הלא נכון הוא הדרך שבה תיקון של חמש דקות הופך אחר הצהריים של התקנה מחדש של חבילות.

שלוש פקודות קריאה בלבד מפרידות בין המקרים לפני שמשנים משהו.

שאלו את שלוש השאלות לפי הסדר

nmcli device status
nmcli general permissions
nmcli connection show

אלו פקודות בדיקה למערכת שמשתמשת באמת ב-NetworkManager, והן בטוחות להרצה כמשתמש רגיל. הרחיקו פרטי חיבור פרטיים מיומנים ציבוריים אם תדביקו את הפלט במקום כלשהו.

מצב ההתקן עונה אם הממשק מנוהל ושמיש. תצוגת ההרשאות עונה מה מותר להפעלה הקוראת לעשות. רשימת החיבורים מראה אילו פרופילים קיימים; היא אינה מוכיחה שתוסף עורך או ייבוא תואם מותקן.

בעלות והרשאה הן תקלות שונות

התקן המסומן כלא מנוהל נמצא מחוץ לשליטת NetworkManager, ושום כמות של הרשאה לא תיצור מתג עובד. תוסף ifupdown הוא סיבה נפוצה: הגדרת managed שלו קובעת כיצד מטופלים ערכים בקובץ interfaces, וקטע שנותר יכול להחזיק ממשק תחת הכלים הישנים. קיומו של הקובץ אינו הוראה למחוק את תוכנו, והסרת ערכים שלא כתבתם היא דרך טובה לאבד קישוריות.

הרשאה היא ציר נפרד. NetworkManager מאשר קוראים שאינם root דרך PolicyKit, והתשובה המדווחת יכולה להיות yes, auth או no. הפעלה בלי סוכן אימות מדווחת auth ואז נכשלת בשקט בשולחן העבודה, מה שנראה כמו בקרה שבורה ולא כמו סוכן חסר.

אל תתקנו אף אחת מהן בהרצת שולחן העבודה כ-root

הרצת כל ההפעלה כ-root כדי שמתג אחד יעבוד משנה את מודל האבטחה של כל יישום במכונה. היא גם מסתירה את התצורה השגויה שמתחת במקום לתעד אותה. אם פעולה דורשת הרשאה מנהלית, זהו התכנון המיועד, והתיקון שייך למדיניות או לאופן שבו הסוכן מופעל.

כמו כן, אל תפעילו עותק שני של NetworkManager או דמון מתחרה. שני מנהלים שמתווכחים על אותו התקן יוצרים מצב שקשה לנמק אותו וקשה עוד יותר לתמוך בו. אם דמון שני נראה כדרך היחידה להחזיר בקרה, התצורה של המנהל הראשון היא הדבר לתקן. עצרו את הדמון הנוסף לפני שתשנו משהו אחר, אחרת הבדיקה הבאה תמדוד את שניהם בבת אחת.

שאלת התוסף היא גם שאלת העורך

יצירה או ייבוא של חיבור VPN דורשים את התוסף שמספק את סוג החיבור הזה, ובשולחן עבודה זה בדרך כלל דורש גם שילוב עורך. חבילת צד השירות יכולה להיות קיימת בזמן שטופס העורך חסר, ולכן ערך תפריט יכול להתקיים ובכל זאת להיכשל. בדקו את שני החצאים מול האריזה של ההפצה במקום להניח שחבילה אחת מתקינה הכול.

קובץ בינארי של לקוח עצמאי גם אינו ראיה. התקנת קובץ בינארי של OpenVPN אינה נותנת לעורך בשולחן העבודה טופס ליצירת פרופיל OpenVPN.

תקנו את הגבול האחראי ואז אמתו

לאחר שתדעו איזה גבול שגוי, שנו רק אותו. סימון התקן כמנוהל, מתן הרשאה או התקנת חבילת עורך הם שלושה פעלים שונים עם שלושה פרופילי סיכון שונים, וערבובם הופך את התוצאה לבלתי ניתנת לייחוס. אם הבעלות חייבת לעבור, עשו זאת עם גישה לקונסולה או מחוץ לרצועה זמינה, כי טעות שם עלולה להסיר את הרשת שבאמצעותה אתם מתקנים.

ואז אמתו עם החשבון האמיתי והפרופיל האמיתי: אשרו את המסלול, את תצוגת ה-DNS ואת המקום שבו הסוד נשמר. כפתורים מופעלים הם מצב ממשק, לא הוכחה שהמנהרה עובדת. רשמו בכרטיס את מצב ההתקן, את תשובת ההרשאה ואת גרסת התוסף, כדי שהאדם הבא ידע איזה גבול באמת השתנה.