Dobavljačka VPN aplikacija nasuprot NetworkManageru: kome pripada stanje?
Profil imenuje dodatak, a ne ponašanje dobavljačeva klijenta. Mapirajte kome pripadaju registracija, DNS, blokiranje i ažuriranja prije nego prebacite upravljani prijenosnik.
Uvoz profila nije isto što i zamjena klijenta. NetworkManager čuva vrstu dodatka zajedno s podacima i tajnama specifičnima za dodatak, a dodatak koji posjeduje tu vrstu odlučuje što veza može raditi. Sve što aplikacija dobavljača slaže povrh toga, od registracije do trajnog blokiranja, živi izvan datoteke. Je li prebacivanje sigurno ovisi o tome na koje se od tih slojeva doista oslanjate.
Datoteka imenuje dodatak, a ne skup funkcija
Referenca VPN postavki NetworkManagera opisuje vrstu usluge koja odabire dodatak, uz neprozirni rječnik podataka i rječnik tajni koje tumači samo dodatak. Profil je ugovor s jednom implementacijom, a ne opis ponašanja koje bilo koji klijent može reproducirati. Dva klijenta mogu govoriti isti protokol i ipak se razlikovati u tome što pregovaraju i koje podatkovne putove omogućuju. Oznaka protokola govori vam što je tunel, nikada što okolni klijent radi s njim.
Zato uspoređujte zahtjeve, a ne omotače. Pitanje nije može li alternativa uspostaviti vezu, jer obično može; pitanje je preživljava li preseljenje svaki zahtjev koji je izvornog klijenta činio prihvatljivim. Zapišite te zahtjeve prije nego što bilo što instalirate, inače se usporedba pretvara u potragu za onim što prvo pukne.
Što aplikacija dobavljača dodaje oko tunela
Klijenti dobavljača obično objedinjuju registraciju i provjere stanja uređaja, tok drugog faktora s vlastitim sučeljem, trajno blokiranje, kanal za ažuriranja i alate za podršku. Dio toga stoji uz protokol, a dio je zaseban proizvod koji samo dijeli instalater. NetworkManager može zamijeniti tunel i njegovo usmjeravanje, a skripte dispečera mogu pokrenuti radnje kada se stanje veze promijeni. On ne reproducira stroj za blokiranje, proces obnove certifikata ni pretpostavku o tome koji korisnik smije podići vezu.
Više komponenti ne znači sigurnije, a manje ne znači slabije. Pitanje je koja komponenta provodi politiku koju su vam rekli da slijedite. Ako revizor pita što blokira promet kada tunel padne, odgovor mora imenovati nešto što to doista čini, a profil koji se samo povezuje nije taj odgovor.
Gdje se vlasništvo doista razlikuje
Čitajte ovo kao kartu vlasništva, a ne kao kontrolni popis, jer su kvarovi ispod praznine u vlasništvu i nijedna količina konfiguracije klijenta ih ne zatvara. Svaki redak imenuje sloj, stranu koja ga danas obično drži i mjesto gdje se praznina prvo pokaže.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Uparite svaki redak s opažanjem koje možete ponoviti, a ne s osjećajem o klijentu. Ime razriješeno kroz predviđeni razrješivač, ruta koja nestane kada tunel stane i blokirana veza nakon simuliranog prekida tri su opažanja koja zajedno pokrivaju većinu tablice. Zapišite opažanje uz zahtjev koji dokazuje i zadržite ona koja nisu uspjela, jer neuspjelo opažanje jedini je dio zapisa koji predviđa sljedeći incident.
Prebacivanje bez preklapanja vlasništva
Istodobno pokretanje dobavljačeva klijenta i NetworkManager veze za istu uslugu najčešći je način da ove usporedbe pođu po zlu. Oba instaliraju rute, oba mogu postaviti DNS i oba mogu dirati stanje vatrozida. Ono što tada mjerite treći je raspored koji ne odgovara dokumentiranom ponašanju nijednog od dvaju klijenata.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Prva naredba govori je li profil uopće vrsta VPN. Druga prikazuje vrstu usluge dodatka i koje su tajne pohranjene, što je važno kada se ključ očekuje od agenta umjesto iz datoteke. Dnevnik je mjesto gdje će dodatak koji se učitao ali nije uspio pregovarati to reći. Ako nijedna od tri ne pokaže problem, praznina je u slojevima politike iznad tunela, a ne u vezi.
Isključite stari klijent prije uključivanja nove veze, održite krajnje točke i račun identičnima i zapišite koja komponenta posjeduje rute, postavke razrješivača i blokiranje. Ta bilješka je ono što sprječava da sljedeće ažuriranje završi s dva vlasnika.