Жеткізушінің VPN қосымшасы NetworkManager-ге қарсы: күйдің иесі кім?
Профиль плагинді атайды, жеткізуші клиентінің әрекетін емес. Басқарылатын ноутбукты ауыстырмас бұрын тіркеу, DNS, бұғаттау және жаңартулардың иесін анықтаңыз.
Профильді импорттау клиентті ауыстырумен бірдей емес. NetworkManager плагин түрін плагинге тән деректермен және құпиялармен бірге сақтайды, ал сол түрге ие плагин қосылымның не істей алатынын шешеді. Жеткізуші қосымшасы үстіне қоятынның бәрі, тіркеуден тұрақты бұғаттауға дейін, файлдан тыс өмір сүреді. Ауысу қауіпсіз бе, ол қай қабаттарға шын мәнінде сүйенетініңізге байланысты.
Файл функциялар жиынын емес, плагинді атайды
NetworkManager-тің VPN параметрлері анықтамалығы плагинді таңдайтын қызмет түрін, сондай-ақ тек плагин түсінетін мөлдір емес деректер сөздігі мен құпиялар сөздігін сипаттайды. Профиль бір іске асырумен жасалған шарт, кез келген клиент қайталай алатын мінез-құлықтың сипаттамасы емес. Екі клиент бір протоколмен сөйлесіп, бәрібір не туралы келісетінінде және қай деректер жолдарын қосатынында өзгеше болуы мүмкін. Протоколдың атауы туннельдің не екенін айтады, айналадағы клиенттің онымен не істейтінін ешқашан айтпайды.
Сондықтан қаптамаларды емес, талаптарды салыстырыңыз. Мәселе баламаның қосыла алатынында емес, ол әдетте қосыла алады; мәселе бастапқы клиентті қолайлы еткен әрбір талаптың көшу кезінде сақталуында. Бірдеңе орнатпас бұрын сол талаптарды жазып алыңыз, әйтпесе салыстыру бірінші не сынатынын іздеуге айналады.
Жеткізуші қосымшасы туннель айналасына не қосады
Жеткізуші клиенттері әдетте тіркеу мен құрылғы күйінің тексерулерін, өз интерфейсі бар екінші фактор ағынын, тұрақты бұғаттауды, жаңарту арнасын және қолдау құралдарын бірге жинақтайды. Оның бір бөлігі протоколдың қасында тұрады, ал бір бөлігі тек орнатушыны бөлісетін жеке өнім. NetworkManager туннельді және оның маршруттауын ауыстыра алады, ал диспетчер скрипттері қосылым күйі өзгергенде әрекеттерді іске қоса алады. Бірақ ол бұғаттау қозғалтқышын, сертификатты жаңарту ағынын немесе қосылымды қай пайдаланушы көтере алатыны туралы болжамды қайталамайды.
Көбірек құрамдас қауіпсіз дегенді білдірмейді, азырақ әлсіз дегенді білдірмейді. Мәселе — сізге ұстану айтылған саясатты қай құрамдас орындайтынында. Егер тексеруші туннель құлағанда трафикті не бұғаттайтынын сұраса, жауап мұны шын мәнінде жасайтын нәрсені атауы керек, ал тек қосылатын профиль ол жауап емес.
Иелік шын мәнінде қай жерде ерекшеленеді
Мұны тексеру парағы емес, иелік картасы ретінде оқыңыз, өйткені төмендегі сәтсіздіктер иелік олқылықтары және клиент конфигурациясының қандай да бір мөлшері оларды жаппайды. Әр жол қабатты, оны бүгін әдетте қай тарап ұстайтынын және олқылықтың алғаш қай жерде көрінетінін атайды.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Әр жолды клиент туралы сезіммен емес, қайталай алатын бақылаумен жұптаңыз. Көзделген шешуші арқылы шешілген атау, туннель тоқтағанда жоғалатын маршрут және модельденген үзілістен кейін бұғатталған қосылым — бұл үш бақылау бірге кестенің көп бөлігін қамтиды. Бақылауды ол дәлелдейтін талаптың қасына жазыңыз, ал сәтсіздерін сақтап қойыңыз, өйткені сәтсіз бақылау жазбаның келесі оқиғаны болжайтын жалғыз бөлігі.
Иелікті қайталамай ауысу
Бір қызмет үшін жеткізуші клиенті мен NetworkManager қосылымын бір уақытта іске қосу — бұл салыстырулардың дұрыс болмауының ең көп таралған жолы. Екеуі де маршруттарды орнатады, екеуі де DNS орнатуы мүмкін, екеуі де өрт сөндіргіш күйіне қол тигізуі мүмкін. Сонда өлшейтініңіз — екі клиенттің де құжатталған мінез-құлқына сәйкес келмейтін үшінші орналасу.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Бірінші пәрмен профильдің жалпы VPN түрі екенін айтады. Екіншісі плагиннің қызмет түрін және қандай құпиялар сақталғанын көрсетеді, бұл кілт файлдан емес, агенттен күтілгенде маңызды. Журнал — жүктелген, бірақ келісе алмаған плагин мұны айтатын орын. Егер үшеуінің ешқайсысы мәселе көрсетпесе, олқылық қосылымда емес, туннель үстіндегі саясат қабаттарында.
Жаңа қосылымды қоспас бұрын ескі клиентті ажыратыңыз, шеткі нүктелер мен тіркелгіні бірдей ұстаңыз және маршруттар, шешуші параметрлері мен бұғаттау кімге тиесілі екенін жазыңыз. Келесі жаңартудың екі иесімен аяқталуын дәл осы жазба тоқтатады.