Controllo grigio di NetworkManager? Verifica la proprietà prima dei permessi

Gli interruttori VPN in grigio nel menu del desktop segnalano che qualcosa non va e nulla su che cosa. È un’osservazione, non una diagnosi. Tre confini diversi possono produrre lo stesso controllo morto: NetworkManager potrebbe non possedere il dispositivo, la sessione potrebbe non avere il permesso di cambiarlo, oppure il plugin dell’editor VPN potrebbe non essere affatto installato. Cambiare quello sbagliato è il modo in cui una correzione di cinque minuti diventa un pomeriggio di reinstallazione di pacchetti.

Tre comandi in sola lettura separano i casi prima che qualcosa venga modificato.

Poni le tre domande in ordine

nmcli device status
nmcli general permissions
nmcli connection show

Sono comandi di ispezione per un sistema che usa davvero NetworkManager e sono sicuri da eseguire come utente normale. Tieni i dettagli privati della connessione fuori dai log pubblici se incolli l’output da qualche parte.

Lo stato del dispositivo risponde se l’interfaccia è gestita e utilizzabile. La vista dei permessi risponde a cosa può fare la sessione chiamante. L’elenco delle connessioni mostra quali profili esistono; non dimostra che un plugin dell’editor o di importazione VPN corrispondente sia installato.

Proprietà e permesso sono guasti diversi

Un dispositivo contrassegnato come non gestito è fuori dal controllo di NetworkManager e nessuna quantità di permessi produrrà un interruttore funzionante. Il plugin ifupdown è una causa comune: la sua impostazione managed decide come vengono trattate le voci nel file interfaces, e una sezione rimasta può tenere un’interfaccia sotto i vecchi strumenti. L’esistenza del file non è un’istruzione a cancellarne il contenuto, e rimuovere voci che non hai scritto è un buon modo per perdere la connettività.

Il permesso è un asse separato. NetworkManager autorizza i chiamanti non root tramite PolicyKit, e la risposta riportata può essere yes, auth o no. Una sessione senza agente di autenticazione riporta auth e poi fallisce in silenzio nel desktop, il che sembra un controllo rotto invece di un agente mancante.

Non risolverli avviando il desktop come root

Eseguire l’intera sessione come root per far funzionare un solo interruttore cambia il modello di sicurezza di ogni applicazione sulla macchina. Nasconde anche la cattiva configurazione sottostante invece di documentarla. Se un’azione richiede autorizzazione amministrativa, questo è il progetto previsto, e la correzione appartiene alla politica o al modo in cui l’agente viene avviato.

Allo stesso modo, non avviare una seconda copia di NetworkManager né un daemon concorrente. Due gestori che litigano sullo stesso dispositivo producono uno stato difficile da ragionare e ancora più difficile da supportare. Se un secondo daemon sembra l’unico modo per riavere un controllo, la configurazione del primo gestore è ciò che va corretto. Ferma il daemon in più prima di cambiare qualcos’altro, altrimenti il test successivo misurerà entrambi insieme.

La questione del plugin riguarda anche l’editor

Creare o importare una connessione VPN richiede il plugin che fornisce quel tipo di connessione, e su un desktop di solito serve anche un’integrazione con l’editor. Il pacchetto lato servizio può essere presente mentre il modulo dell’editor manca, ed è per questo che una voce di menu può esistere e comunque fallire. Controlla entrambe le metà rispetto al pacchettizzamento della distribuzione invece di presumere che un solo pacchetto installi tutto.

Anche un binario client autonomo non è una prova. Installare un binario OpenVPN non dà di per sé all’editor del desktop un modulo per creare un profilo OpenVPN.

Correggi il confine responsabile, poi verifica

Una volta saputo quale confine è sbagliato, cambia solo quello. Contrassegnare un dispositivo come gestito, concedere un permesso o installare un pacchetto dell’editor sono tre operazioni diverse con tre profili di rischio diversi, e mescolarle rende il risultato impossibile da attribuire. Se la proprietà deve spostarsi, fallo con accesso alla console o fuori banda disponibile, perché un errore lì può rimuovere la rete che stai usando per ripararlo.

Poi verifica con l’account reale e il profilo reale: conferma la rotta, la vista DNS e dove è memorizzato il segreto. I pulsanti abilitati sono uno stato dell’interfaccia, non la prova che un tunnel funzioni. Registra nel ticket lo stato del dispositivo, la risposta del permesso e la versione del plugin, così la persona successiva sa quale confine è cambiato davvero.