Tiekėjo VPN programa prieš NetworkManager: kam priklauso būsena?
Profilis įvardija papildinį, o ne tiekėjo kliento elgseną. Susiekite, kam priklauso registracija, DNS, blokavimas ir atnaujinimai, prieš pakeisdami valdomą nešiojamąjį kompiuterį.
Profilio importavimas nėra tas pats, kas kliento pakeitimas. NetworkManager saugo papildinio tipą kartu su papildiniui būdingais duomenimis ir slaptažodžiais, o tas papildinys, kuriam priklauso šis tipas, nusprendžia, ką ryšys gali daryti. Viskas, ką tiekėjo programa sluoksniuoja viršuje, nuo registracijos iki nuolatinio blokavimo, gyvena už failo ribų. Ar perjungimas saugus, priklauso nuo to, kuriomis iš šių sluoksnių iš tikrųjų pasikliaujate.
Failas įvardija papildinį, o ne funkcijų rinkinį
NetworkManager VPN nustatymų žinynas aprašo paslaugos tipą, kuris parenka papildinį, taip pat nepermatomą duomenų žodyną ir slaptažodžių žodyną, kuriuos interpretuoja tik papildinys. Profilis yra sutartis su viena įgyvendinimo versija, o ne elgsenos aprašymas, kurį gali atkartoti bet kuris klientas. Du klientai gali kalbėti tuo pačiu protokolu ir vis tiek skirtis tuo, dėl ko derasi ir kuriuos duomenų kelius įjungia. Protokolo pavadinimas pasako, kas yra tunelis, bet niekada – ką su juo daro aplinkinis klientas.
Todėl lyginkite reikalavimus, o ne apvalkalus. Klausimas ne tas, ar alternatyva gali prisijungti, nes paprastai gali; klausimas, ar kiekvienas reikalavimas, dėl kurio pirminis klientas buvo priimtinas, išlieka po perkėlimo. Užsirašykite tuos reikalavimus prieš ką nors įdiegdami, kitaip palyginimas virs to, kas sugenda pirmiausia, medžiokle.
Ką tiekėjo programa prideda aplink tunelį
Tiekėjų klientai paprastai apjungia registraciją ir įrenginio būsenos patikras, antrojo veiksnio srautą su savo sąsaja, nuolatinį blokavimą, atnaujinimų kanalą ir palaikymo įrankius. Dalis to stovi šalia protokolo, o dalis yra atskiras produktas, kuris tik dalijasi diegėju. NetworkManager gali pakeisti tunelį ir jo maršrutizavimą, o dispečerio scenarijai gali paleisti veiksmus, kai pasikeičia ryšio būsena. Tačiau jis neatkuria blokavimo variklio, sertifikato atnaujinimo eigos ar prielaidos, kuris naudotojas gali pakelti ryšį.
Daugiau komponentų nereiškia saugiau, o mažiau nereiškia silpniau. Klausimas, kuris komponentas vykdo politiką, kurios jums buvo liepta laikytis. Jei auditorius paklaus, kas blokuoja srautą, kai tunelis nukrenta, atsakymas turi įvardyti tai, kas iš tiesų tai daro, o profilis, kuris tik prisijungia, nėra tas atsakymas.
Kur nuosavybė iš tikrųjų skiriasi
Skaitykite tai kaip nuosavybės žemėlapį, o ne kontrolinį sąrašą, nes žemiau esantys gedimai yra nuosavybės spragos, ir jokia kliento konfigūracijos apimtis jų neuždaro. Kiekviena eilutė įvardija sluoksnį, pusę, kuri jį paprastai laiko šiandien, ir vietą, kur spraga pasirodo pirmiausia.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Kiekvieną eilutę susiekite su stebėjimu, kurį galite pakartoti, o ne su jausmu apie klientą. Vardas, išspręstas numatytuoju sprendikliu, maršrutas, kuris dingsta sustojus tuneliui, ir užblokuotas ryšys po imituoto nutrūkimo yra trys stebėjimai, kurie kartu apima didžiąją lentelės dalį. Užrašykite stebėjimą šalia reikalavimo, kurį jis įrodo, ir pasilikite nepavykusius, nes nepavykęs stebėjimas yra vienintelė įrašo dalis, kuri numato kitą incidentą.
Perjungimas be persidengiančios nuosavybės
Tiekėjo kliento ir NetworkManager ryšio tai pačiai paslaugai paleidimas vienu metu yra dažniausias būdas, kuriuo šie palyginimai nueina ne taip. Abu įdiegia maršrutus, abu gali nustatyti DNS, ir abu gali paliesti ugniasienės būseną. Tai, ką tada matuojate, yra trečioji tvarka, kuri neatitinka nė vieno kliento dokumentuotos elgsenos.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Pirmoji komanda pasako, ar profilis apskritai yra VPN tipo. Antroji rodo papildinio paslaugos tipą ir kokie slaptažodžiai saugomi, o tai svarbu, kai raktas tikimasi iš agento, o ne iš failo. Žurnale papildinys, kuris įsikėlė, bet nesugebėjo susiderėti, tai pasakys. Jei nė vienas iš trijų nerodo problemos, spraga yra politikos sluoksniuose virš tunelio, o ne ryšyje.
Atjunkite seną klientą prieš įjungdami naują ryšį, palikite galinius taškus ir paskyrą identiškus, ir užsirašykite, kuris komponentas valdo maršrutus, sprendiklio nustatymus ir blokavimą. Būtent ši pastaba neleidžia kitam atnaujinimui baigtis su dviem savininkais.