ConnMan VPN: trūkstamas meniu yra demonas, o ne protokolas

Paplitęs įsitikinimas, kad ConnMan sistema, kurioje darbalaukyje nėra VPN įrašo, neturi įdiegtos VPN paramos. Paprastai ji turi Wi-Fi paramą ir neturi jokios VPN demonui, tiekėjo konfigūracijai ar autentifikavimo agentui, ir tai yra trys atskiri trūkumai. Meniu yra tų komponentų vaizdas, o ne pati funkcija. Versijos ir pakavimo patikrinimas viena komanda pasako daugiau nei bet koks darbalaukio klaidų ataskaitų skaičius.

Mitas: meniu yra VPN funkcija

Pradėkite nuo įdiegtos ConnMan versijos ir su ja atėjusių paketų. Senesnio leidimo klaidų ataskaita aprašo kitokį funkcijų rinkinį, o ją cituojant paprastai viskas baigiasi tuo, kad kas nors iš naujo įdiegia tinklo tvarkyklę, kurios nereikėjo keisti.

Užsirašykite, ką iš tikrųjų turite, prieš ką nors keisdami: demono dvejetainis failas, tiekėjų katalogas ir ar yra agentas.

Kuris demonas valdo tunelį

Debian bookworm skirtoje ConnMan 1.41 dokumentacijoje connman-vpnd yra demonas, kuris šalia connmand tvarko VPN ryšius. Jis išvardija integracijas pavadintiems VPN pagalbininkams, įskaitant OpenVPN ir OpenConnect. Tas sąrašas yra teiginys apie pagalbininkus, o ne pažadas, kad veiks kiekvienas protokolas ar autentifikavimo srautas. Skaitykite jį kaip sąrašą to, ką reikia patikrinti, o ne kaip suderinamumo garantiją.

Tada priskirkite integraciją patvirtintam šliuzo protokolui. Žodis Cisco nepasako, ar jums reikia seno vpnc stiliaus ryšio, ar su AnyConnect suderinamo srauto, o neteisingas pasirinkimas sukuria autentifikavimo klaidą, kuri atrodo kaip prisijungimo duomenų problema.

Jei ir atskiras pagalbininkas, ir ConnMan gali pakelti tunelį, nuspręskite, kuris iš jų valdo maršrutus, DNS ir gyvavimo ciklą, prieš pradedant bet kuriam.

Demono nustatymai nėra tiekėjo nustatymai

Bendroji demono konfigūracija ir atskiro tiekėjo konfigūracija yra skirtingi failai skirtingais formatais. Dokumentuotoje bookworm tvarkoje demonas nuskaito /etc/connman/connman-vpn.conf, o tiekėjų paruošimo failai yra /var/lib/connman-vpn/ kataloge su .config priesaga. OpenVPN profilio įkėlimas į tą katalogą nepaverčia jo ConnMan paruošimo failu. O šios versijos tiekėjo vadovas aprašo tiekėjo skyrius ir tipui būdingus laukus, kurių tiems failams iš tikrųjų reikia.

Verskite tik per įdiegtos integracijos palaikomą susiejimą. Sertifikato pasitikėjimas, nuorodos į privatų raktą, šliuzo tapatybė, maršrutai ir autentifikavimo įvestys kiekvienas išlaiko savo vaidmenį, o kito tiekėjo tipo pavyzdys nėra keičiamas vien todėl, kad abiem reikia serverio adreso.

Kai tiekėjas neįkeliamas, palyginkite jo laukus su įdiegto leidimo vadovu, o ne su tinklaraščio pavyzdžiu.

Autentifikavimo agentas yra atskira priklausomybė

Tiekėjo aprašas vis tiek gali reikalauti agento prisijungimo duomenims gauti ar autentifikavimo mainams užbaigti. Dėl jo OpenConnect integracijos tas pats vadovas paaiškina, kad trūkstamas su autentifikavimu susijusias reikšmes galima užklausti per VPN Agent API, ir kad trumpalaikis slapukas paprastai netinka kaip nuolatinė konfigūracijos paslaptis. Tas mechanizmas negarantuoja paramos kiekvienam naršyklės prisijungimui, MFA užklausai ar šliuzo būsenos patikrinimui. Patvirtinkite visą eigą su tuo, kam priklauso diegimas.

Nekompensuokite nesančio agento įrašydami slaptažodį ar sesijos žetoną į plačiai skaitomą failą. Tai paverčia trūkstamą integraciją prisijungimo duomenų atskleidimu, o antroji problema gyvena ilgiau už pirmąją.

Jei šliuzui reikia interaktyvaus prisijungimo, agentas yra dizaino dalis, o ne pasirenkamas priedas.

Patikrinkite keturis rezultatus, o ne vieną

Po leistino paruošimo patikrinkite keturis dalykus atskirai: tiekėjas pasirinktas, ryšys autentifikuotas, veiksmingi maršrutai yra tie, kurių norėjote, ir sprendėjas elgiasi kaip tikėtasi. Veikiantis demonas, sąraše esantis tiekėjas ir programa, pasiekianti savo išteklių, yra trys skirtingi rezultatai, ir tik paskutinis yra tikrasis naudotojo tikslas. Jų atskiras fiksavimas pasako, kurį etapą taisyti.

Į šį patikrinimą įtraukite prisijungimo iš naujo elgseną ir reikalaujamą nepasiekiamos būsenos politiką, nes tunelis, kuris pakyla kartą ir niekada neatsistato, nėra įdiegtas. Laikykite veikiančią bazinio tinklo konfigūraciją atkuriamą, kol keičiate VPN integraciją.

Wi-Fi tvarkyklės keitimas vien dėl mygtuko yra daug didesnis pakeitimas nei reikalinga trūkstama operacija, ir paprastai laimi mitas.