Pelēka NetworkManager vadība? Pirms atļaujām pārbaudiet īpašumtiesības

Pelēki VPN slēdži darbvirsmas izvēlnē vēsta, ka kaut kas nav kārtībā, un neko par to, kas. Tas ir novērojums, nevis diagnoze. Trīs dažādas robežas var radīt to pašu mirušo vadīklu: NetworkManager var nepārvaldīt ierīci, sesijai var trūkt atļaujas to mainīt, vai VPN redaktora spraudnis var būt vispār nav instalēts. Nepareizās robežas maiņa ir tas, kā piecu minūšu labojums pārvēršas pēcpusdienā, kas pavadīta pārstādot pakotnes.

Trīs tikai lasīšanas komandas atšķir gadījumus pirms kaut kā mainīšanas.

Uzdodiet trīs jautājumus pēc kārtas

nmcli device status
nmcli general permissions
nmcli connection show

Šīs ir pārbaudes komandas sistēmai, kas patiešām izmanto NetworkManager, un tās ir droši palaist kā parastam lietotājam. Ja kur nors ielīmējat izvadi, turiet privātas savienojuma detaļas ārpus publiskiem žurnāliem.

Ierīces statuss atbild, vai saskarne ir pārvaldīta un lietojama. Atļauju skats atbild, ko drīkst darīt izsaucošā sesija. Savienojumu saraksts parāda, kādi profili pastāv; tas nepierāda, ka ir instalēts atbilstošs VPN redaktors vai importa spraudnis.

Īpašumtiesības un atļauja ir dažādi bojājumi

Ierīce, kas atzīmēta kā nepārvaldīta, ir ārpus NetworkManager kontroles, un nekāds atļauju daudzums neradīs strādājošu slēdzi. ifupdown spraudnis ir viens izplatīts cēlonis: tā managed iestatījums nosaka, kā tiek apstrādāti interfaces faila ieraksti, un atlikusī rinda var noturēt saskarni pie vecā rīka. Faila esamība nav instrukcija dzēst tā saturu, un ierakstu, kurus neesat rakstījis, noņemšana ir labs veids, kā zaudēt savienojumu.

Atļauja ir atsevišķa ass. NetworkManager autorizē lietotājus, kas nav root, caur PolicyKit, un ziņotā atbilde var būt yes, auth vai no. Sesija bez autentifikācijas aģenta ziņo auth un pēc tam darbvirsmas vidē klusi neizdodas, kas izskatās pēc salauztas vadīklas, nevis pēc trūkstoša aģenta.

Nelabojiet nevienu, palaižot darbvirsmu kā root

Visas sesijas palaišana kā root, lai strādātu viens slēdzis, maina katras mašīnas programmas drošības modeli. Tas arī paslēpj pamatā esošo nepareizo konfigurāciju, nevis dokumentē to. Ja darbībai nepieciešama administratīvā autorizācija, tas ir paredzētais dizains, un labojums pieder pie politikas vai pie tā, kā aģents tiek palaists.

Tāpat nepalaidiet otru NetworkManager kopiju vai konkurējošu dēmonu. Divi pārvaldnieki, kas strīdas par vienu un to pašu ierīci rada stāvokli, par kuru grūti spriest un vēl grūtāk atbalstīt. Ja otrs dēmons izskatās kā vienīgais veids, kā atgūt vadīklu, pirmais pārvaldnieks ir tas, kura konfigurācija ir jālabo. Apturiet papildu dēmonu pirms jebko cita mainīšanas, citādi nākamais tests mēra abus uzreiz.

Spraudņa jautājums ir arī par redaktoru

Lai izveidotu vai importētu VPN savienojumu, nepieciešams spraudnis, kas nodrošina šo savienojuma veidu, un darbvirsmas vidē parasti nepieciešama arī redaktora integrācija. Pakotne servera pusē var būt, kamēr redaktora forma trūkst, tāpēc izvēlnes vienums var pastāvēt un tomēr neizdoties. Pārbaudiet abas puses atbilstoši distributīva iepakojumam, nevis pieņemiet, ka viena pakotne instalē visu.

Arī atsevišķs klienta binārais fails nav pierādījums. OpenVPN binārā faila instalēšana pati par sevi nepiešķir darbvirsmas redaktoram formu OpenVPN profila izveidei.

Izlabojiet atbildīgo robežu, pēc tam pārbaudiet

Kad zināt, kura robeža ir nepareiza, mainiet tikai to. Ierīces atzīmēšana par pārvaldītu, atļaujas piešķiršana vai redaktora pakotnes instalēšana ir trīs dažādas darbības ar trim dažādiem riska profiliem, un to sajaukšana padara rezultātu neattributējamu. Ja īpašumtiesībām jāmainās, dariet to ar pieejamu konsoli vai ārpusjoslas piekļuvi, jo tur pieļauta kļūda var noņemt tīklu, kuru izmantojat tā labošanai.

Pēc tam pārbaudiet ar īsto kontu un īsto profilu: apstipriniet maršrutu, DNS skatu un to, kur glabājas noslēpums. Iespējotās pogas ir saskarnes stāvoklis, nevis pierādījums, ka tunelis strādā. Ticket ierakstiet ierīces statusu, atļaujas atbildi un spraudņa versiju, lai nākamais cilvēks zinātu, kura robeža patiešām mainījās.