VPN sekunder milik satu profil Wi-Fi, bukan semua

Konfigurasikan VPN sebagai sekunder koneksi Wi-Fi rumah dan semuanya berfungsi, sampai laptop bergabung ke titik akses lain dan terowongan tetap mati. Koneksi baru adalah objek konfigurasi terpisah dengan UUID-nya sendiri, dan tidak punya alasan untuk mengetahui ikatan yang Anda buat untuk pendahulunya. Tidak ada yang rusak; asosiasi itu memang tidak pernah ada.

Referensi koneksi NetworkManager mendefinisikan sekunder sebagai UUID yang aktif bersama koneksi dasar tertentu. Dokumen itu juga mencatat bahwa profil VPN biasa tidak menerapkan aktivasi otomatis seperti koneksi dasar. Kedua pernyataan mengarah ke kesimpulan yang sama: asosiasi bersifat per profil, dan seseorang harus membuatnya untuk setiap profil baru.

Apa sebenarnya sekunder itu

Koneksi dasar memiliki identitas, UUID, dan daftar sekunder. Saat aktif, pengelola juga mengaktifkan sekunder tersebut secara berurutan, dan begitulah VPN mengikuti jaringan Wi-Fi tanpa klik manual. Relasi itu berada pada koneksi dasar, ditulis sebagai string UUID, bukan nama. Pilihan representasi itu bukan kebetulan; itulah yang membuat asosiasi bertahan saat nama berubah.

Detail tentang nama itu lebih penting daripada kelihatannya. Mengganti nama profil VPN tidak menyentuh UUID-nya, sehingga asosiasi yang ada tetap berfungsi. Menghapus profil lama dan mengimpor yang baru menghasilkan UUID baru, dan setiap asosiasi yang menunjuk ke yang lama kini tidak menunjuk ke apa pun.

Periksa daftar yang ada sebelum menambahkan. Profil rumah dengan satu sekunder bukan aturan yang cocok untuk setiap SSID; itu satu baris dalam satu objek, dan tidak akan dirujuk saat dasar lain aktif.

Tempatkan asosiasi di tempat profil dibuat

Di mesin pribadi, jadikan pelampiran sekunder yang dimaksud sebagai bagian dari penambahan setiap profil Wi-Fi yang diizinkan. Itu kebiasaan, bukan fitur, tetapi kebiasaan yang menghasilkan keadaan konsisten, dan perlu satu perintah atau dua kunjungan dialog per jaringan. Simpan catatan singkat tentang jaringan mana yang seharusnya membawa terowongan, karena daftar itulah kebijakannya.

Pada perangkat terkelola, biarkan alur kerja penyediaan membuat entri Wi-Fi dan asosiasi VPN-nya dalam langkah yang sama, dan terapkan perlakuan yang sama pada profil yang diizinkan yang sudah ada. Mendistribusikan profil VPN sendirian membuat relasi dasar tidak ditentukan, dan begitulah armada berakhir dengan terowongan yang hanya dipakai separuh laptop.

Di tempat pengguna masih dapat membuat profil di luar jalur terkelola, putuskan secara eksplisit apa yang terjadi pada entri tersebut. Mengasumsikan mereka mewarisi asosiasi bukan kebijakan; itu harapan dengan biaya dukungan.

Rencanakan perubahan identitas VPN

Sumber penyediaan membutuhkan UUID VPN yang dimaksud, bukan nama tampilan yang ditebak seseorang. Saat pemeliharaan mengganti VPN itu dengan objek yang baru diimpor, perbarui templat penyediaan dan asosiasi yang ada yang terdampak dalam perubahan yang sama. Mengganti nama bukan penggantian, dan memperlakukan keduanya sebagai setara adalah cara peluncuran yang berfungsi rusak seminggu kemudian.

Simpan UUID di samping alasan keberadaannya. Insinyur masa depan yang menemukan UUID telanjang dalam daftar sekunder tidak punya cara untuk tahu apakah itu masih berlaku, dan kemungkinan akan menghapusnya saat merapikan.

Aktivasi bukan penegakan

Permintaan sekunder terjadi pada waktu aktivasi. Itu tidak memblokir aplikasi selama selang sebelum autentikasi selesai, dan tidak menghentikan lalu lintas setelah terowongan gagal. Itu properti berbeda yang disediakan mekanisme berbeda, dan mencampurnya menghasilkan desain yang tampak ketat di profil dan longgar dalam praktik.

Memblokir lalu lintas langsung adalah fitur terpisah dengan konfigurasinya sendiri dan mode kegagalannya sendiri, dan harus memperhitungkan lalu lintas yang harus mencapai jaringan sebelum terowongan apa pun ada: portal tawanan, halaman masuk, titik akhir itu sendiri. Kebijakan pemblokiran yang tidak dapat dipenuhi sebelum autentikasi mengunci mesin dari jaringan yang justru dibutuhkannya.

Masukkan perbedaan itu ke dalam instruksi yang benar-benar dibaca pengguna. Jaringan Wi-Fi baru dapat meminta terowongan; penegakan memutuskan apakah sesuatu boleh keluar saat tidak dapat terhubung. Pengguna yang hanya diberi tahu paruh pertama akan melaporkan desain itu rusak.

Uji dengan profil yang benar-benar baru

Gunakan jaringan uji yang disetujui dan profil dasar yang baru dibuat, bukan entri rumah yang sudah berfungsi. Amati aktivasi dasar, UUID sekunder yang diminta, dan setiap permintaan autentikasi secara berurutan, lalu catat tahap mana yang macet saat macet. Agen rahasia yang tersedia setelah login desktop tidak otomatis ada di setiap konteks startup, jadi boot ulang termasuk dalam rencana uji. Kemudian periksa sumber daya yang dimaksud dan jalur kegagalan: apakah terowongan naik sebelum aplikasi membutuhkannya, dan apa yang terjadi pada aplikasi itu saat autentikasi gagal?

Kemudian periksa sumber daya yang dimaksud dan jalur kegagalan: apakah terowongan naik sebelum aplikasi membutuhkannya, dan apa yang terjadi pada aplikasi itu saat terowongan tidak dapat mengautentikasi? Kedua pengamatan itu adalah kriteria penerimaan, dan tidak satu pun terlihat di profil itu sendiri.