Antrinis VPN priklauso vienam Wi-Fi profiliui, o ne visiems

Sukonfigūruokite VPN kaip namų Wi-Fi jungties antrinį ir viskas veikia, kol nešiojamasis kompiuteris prisijungia prie kito prieigos taško ir tunelis lieka nuleistas. Naujoji jungtis yra atskiras konfigūracijos objektas su savo UUID, ir ji neturi jokios priežasties žinoti apie ryšį, kurį sukūrėte jos pirmtakui. Niekas nesugedo; asociacijos tiesiog niekada nebuvo.

NetworkManager jungčių žinynas antrinius apibrėžia kaip UUID, kurie suaktyvinami kartu su tam tikra bazine jungtimi. Jame taip pat pažymima, kad įprasti VPN profiliai neįgyvendina automatinio aktyvinimo taip, kaip bazinės jungtys. Abu teiginiai veda prie tos pačios išvados: asociacija yra kiekvienam profiliui atskirai, ir kažkas turi ją sukurti kiekvienam naujam.

Kas iš tikrųjų yra antrinis

Bazinė jungtis turi tapatybę, UUID ir antrinių sąrašą. Kai ji suaktyvinama, valdyklė taip pat suaktyvina tuos antrinius iš eilės, ir taip VPN seka Wi-Fi tinklą be rankinio paspaudimo. Ryšys gyvena bazinėje jungtyje, užrašytas UUID eilutėmis, o ne pavadinimais. Šis pateikimo pasirinkimas nėra atsitiktinis; būtent jis leidžia asociacijai išgyventi pervadinimą.

Ta pavadinimų detalė svarbesnė, nei atrodo. Pervadinus VPN profilį, jo UUID lieka nepaliestas, todėl esamos asociacijos toliau veikia. Ištrynus seną profilį ir importavus naują, sukuriamas naujas UUID, ir kiekviena asociacija, kuri rodė į senąjį, dabar nerodo į nieką.

Prieš pridėdami peržiūrėkite esamą sąrašą. Namų profilis su vienu antriniu nėra taisyklė, tinkanti kiekvienam SSID; tai viena eilutė viename objekte, ir į ją nebus atsižvelgta, kai suaktyvės kita bazė.

Įdėkite asociaciją ten, kur kuriami profiliai

Asmeniniame kompiuteryje padarykite numatyto antrinio prijungimą kiekvieno leidžiamo Wi-Fi profilio pridėjimo dalimi. Tai įprotis, o ne funkcija, bet įprotis, kuris sukuria nuoseklią būseną, ir tam reikia vienos komandos arba dviejų dialogo apsilankymų vienam tinklui. Laikykite trumpą užrašą, kurie tinklai turėtų nešti tunelį, nes sąrašas yra politika.

Valdomuose įrenginiuose tegu parengimo darbo eiga sukuria Wi-Fi įrašą ir jo VPN asociaciją tame pačiame žingsnyje, ir taikykite tą patį jau esantiems leidžiamiems profiliams. Vien VPN profilio platinimas palieka bazinius ryšius neapibrėžtus, ir taip parkas gauna tunelį, kurį naudoja tik pusė nešiojamųjų kompiuterių.

Kur vartotojai dar gali kurti profilius už valdomo kelio ribų, aiškiai nuspręskite, kas nutiks tiems įrašams. Prielaida, kad jie paveldės asociaciją, nėra politika; tai viltis su pridėtomis palaikymo išlaidomis.

Suplanuokite VPN tapatybės pasikeitimą

Parengimo šaltiniui reikia numatyto VPN UUID, o ne rodomo pavadinimo, kurį kažkas atspėjo. Kai priežiūra pakeičia tą VPN ką tik importuotu objektu, tame pačiame pakeitime atnaujinkite parengimo šabloną ir paveiktas esamas asociacijas. Pervadinimas nėra pakeitimas, o abiejų traktavimas kaip lygiaverčių yra būdas, kuriuo veikiantis diegimas sugenda po savaitės.

Saugokite UUID šalia priežasties, dėl kurios jis egzistuoja. Būsimas inžinierius, antrinių sąraše radęs pliką UUID, negalės pasakyti, ar jis galiojantis, ir tikriausiai jį ištrins tvarkydamas.

Aktyvinimas nėra priverstinis vykdymas

Antrinio užklausa įvyksta aktyvinimo metu. Ji neblokuoja programų per intervalą iki autentifikacijos pabaigos ir nesustabdo srauto po to, kai tunelis sugenda. Tai skirtingos savybės, kurias suteikia skirtingi mechanizmai, ir jų supainiojimas sukuria dizainą, kuris profilyje atrodo griežtas, o praktiškai yra nuolaidus.

Tiesioginio srauto blokavimas yra atskira funkcija su sava konfigūracija ir savais gedimo režimais, ir ji turi atsižvelgti į srautą, kuris turi pasiekti tinklą dar prieš atsirandant bet kokiam tuneliui: priverstiniai portalai, prisijungimo puslapiai, pats galinis taškas. Blokavimo politika, kurios neįmanoma įvykdyti prieš autentifikaciją, užrakina įrenginį už būtent to tinklo, kurio jam reikia.

Įdėkite tą skirtumą į instrukcijas, kurias vartotojai iš tikrųjų skaito. Naujas Wi-Fi tinklas gali paprašyti tunelio; priverstinis vykdymas nusprendžia, ar kas nors gali išeiti, kai nepavyksta prisijungti. Vartotojai, kuriems pasakyta tik pirmoji pusė, praneš, kad dizainas sugedęs.

Išbandykite su tikrai nauju profiliu

Naudokite patvirtintą bandomąjį tinklą ir naujai sukurtą bazinį profilį, o ne jau veikiantį namų įrašą. Stebėkite bazės aktyvinimą, užklaustą antrinį UUID ir bet kokį autentifikacijos raginimą iš eilės, ir pažymėkite, kuriame etape sustoja, kai sustoja. Slaptas agentas, kuris tampa prieinamas po darbalaukio prisijungimo, nėra automatiškai visame paleidimo kontekste, todėl perkrovimas priklauso bandymo planui. Tada patikrinkite numatytą išteklių ir gedimo kelią: ar tunelis pakyla anksčiau, nei jo prireikia programai, ir kas nutinka tai programai, kai autentifikacija nepavyksta?

Tada patikrinkite numatytą išteklių ir gedimo kelią: ar tunelis pakyla anksčiau, nei jo prireikia programai, ir kas nutinka tai programai, kai tunelis negali autentifikuotis? Tie du stebėjimai yra priėmimo kriterijai, ir nė vienas jų nėra matomas pačiame profilyje.