Aplikasi VPN vendor versus NetworkManager: siapa yang memiliki status?
Profil menamai plugin, bukan perilaku klien vendor. Petakan siapa yang memiliki pendaftaran, DNS, pemblokiran, dan pembaruan sebelum Anda mengganti laptop terkelola.
Mengimpor profil bukan hal yang sama dengan mengganti klien. NetworkManager menyimpan tipe plugin bersama data dan rahasia khusus plugin, dan plugin yang memiliki tipe itu yang menentukan apa yang dapat dilakukan koneksi. Semua yang ditumpuk aplikasi vendor di atasnya, dari pendaftaran hingga pemblokiran permanen, hidup di luar berkas. Apakah penggantian aman bergantung pada lapisan mana yang benar-benar Anda andalkan.
Berkas menamai plugin, bukan kumpulan fitur
Referensi pengaturan VPN dari NetworkManager menjelaskan tipe layanan yang memilih plugin, ditambah kamus data buram dan kamus rahasia yang hanya ditafsirkan plugin. Profil adalah kontrak dengan satu implementasi, bukan deskripsi perilaku yang dapat direproduksi klien mana pun. Dua klien dapat berbicara protokol yang sama dan tetap berbeda dalam apa yang dinegosiasikan dan jalur data mana yang mereka aktifkan. Label protokol memberi tahu Anda apa itu terowongan, tidak pernah apa yang dilakukan klien di sekitarnya dengan terowongan itu.
Jadi bandingkan persyaratan, bukan pembungkusnya. Pertanyaannya bukan apakah alternatif dapat terhubung, karena biasanya bisa; melainkan apakah setiap persyaratan yang membuat klien asli dapat diterima bertahan melewati perpindahan. Tuliskan persyaratan itu sebelum memasang apa pun, atau perbandingannya berubah menjadi perburuan apa yang rusak lebih dulu.
Apa yang ditambahkan aplikasi vendor di sekitar terowongan
Klien vendor biasanya menggabungkan pendaftaran dan pemeriksaan postur perangkat, alur faktor kedua dengan antarmuka sendiri, pemblokiran permanen, kanal pembaruan, dan perkakas dukungan. Sebagian berdiri di samping protokol, dan sebagian adalah produk terpisah yang hanya berbagi pemasang. NetworkManager dapat menggantikan terowongan dan peruteannya, dan skrip dispatcher dapat memicu tindakan saat status koneksi berubah. Namun ia tidak mereproduksi mesin pemblokiran, alur pembaruan sertifikat, atau asumsi tentang pengguna mana yang boleh menaikkan koneksi.
Lebih banyak komponen bukan berarti lebih aman, dan lebih sedikit bukan berarti lebih lemah. Pertanyaannya adalah komponen mana yang menegakkan kebijakan yang diminta untuk Anda ikuti. Jika auditor bertanya apa yang memblokir lalu lintas ketika terowongan putus, jawabannya harus menyebut sesuatu yang benar-benar melakukannya, dan profil yang hanya terhubung bukanlah jawaban itu.
Di mana kepemilikan sebenarnya berbeda
Bacalah ini sebagai peta kepemilikan, bukan daftar periksa, karena kegagalan di bawah adalah celah kepemilikan dan tidak ada konfigurasi klien sebanyak apa pun yang menutupnya. Setiap baris menamai lapisan, pihak yang biasanya memegangnya hari ini, dan di mana celah itu muncul pertama.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Pasangkan setiap baris dengan pengamatan yang dapat Anda ulangi, bukan perasaan tentang klien. Nama yang diselesaikan melalui resolver yang dimaksud, rute yang hilang saat terowongan berhenti, dan koneksi yang terblokir setelah pemutusan simulasi adalah tiga pengamatan yang bersama-sama mencakup sebagian besar tabel. Tuliskan pengamatan di samping persyaratan yang dibuktikannya, dan simpan yang gagal, karena pengamatan yang gagal adalah satu-satunya bagian catatan yang memprediksi insiden berikutnya.
Berpindah tanpa kepemilikan yang tumpang tindih
Menjalankan klien vendor dan koneksi NetworkManager untuk layanan yang sama secara bersamaan adalah cara paling umum perbandingan ini menjadi salah. Keduanya memasang rute, keduanya mungkin menyetel DNS, dan keduanya mungkin menyentuh status firewall. Yang Anda ukur saat itu adalah susunan ketiga yang tidak cocok dengan perilaku terdokumentasi salah satu dari kedua klien.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Perintah pertama memberi tahu apakah profil itu tipe VPN sama sekali. Yang kedua menunjukkan tipe layanan plugin dan rahasia mana yang disimpan, yang penting ketika kunci diharapkan dari agen alih-alih dari berkas. Jurnal adalah tempat plugin yang dimuat tetapi gagal bernegosiasi akan mengatakannya. Jika tidak satu pun dari ketiganya menunjukkan masalah, celahnya ada di lapisan kebijakan di atas terowongan, bukan di koneksi.
Putuskan klien lama sebelum mengaktifkan koneksi baru, jaga titik akhir dan akun tetap sama, dan catat komponen mana yang memiliki rute, pengaturan resolver, dan pemblokiran. Catatan itulah yang mencegah pembaruan berikutnya berakhir dengan dua pemilik.