Piegādātāja VPN lietotne pret NetworkManager: kam pieder stāvoklis?
Profils nosauc spraudni, nevis piegādātāja klienta uzvedību. Kartējiet, kam pieder reģistrācija, DNS, bloķēšana un atjauninājumi, pirms pārslēdzat pārvaldītu klēpjdatoru.
Profila importēšana nav tas pats, kas klienta aizstāšana. NetworkManager glabā spraudņa tipu kopā ar spraudnim raksturīgiem datiem un noslēpumiem, un spraudnis, kuram pieder šis tips, izlemj, ko savienojums var darīt. Viss, ko piegādātāja lietotne uzliek virsū, no reģistrācijas līdz pastāvīgai bloķēšanai, dzīvo ārpus faila. Vai pārslēgšanās ir droša, atkarīgs no tā, uz kuriem no šiem slāņiem jūs patiešām paļaujaties.
Fails nosauc spraudni, nevis funkciju kopumu
NetworkManager VPN iestatījumu uzziņa apraksta pakalpojuma tipu, kas izvēlas spraudni, kā arī necaurspīdīgu datu vārdnīcu un noslēpumu vārdnīcu, ko interpretē tikai spraudnis. Profils ir līgums ar vienu ieviešanu, nevis uzvedības apraksts, ko var atkārtot jebkurš klients. Divi klienti var runāt ar vienu un to pašu protokolu un tomēr atšķirties tajā, par ko tie vienojas un kurus datu ceļus tie iespējo. Protokola nosaukums pasaka, kas ir tunelis, nekad to, ko ar to dara apkārtējais klients.
Tāpēc salīdziniet prasības, nevis apvalkus. Jautājums nav par to, vai alternatīva var izveidot savienojumu, jo parasti var; jautājums ir, vai katra prasība, kas sākotnējo klientu padarīja pieņemamu, pārdzīvo pārcelšanu. Uzrakstiet šīs prasības pirms kaut kā instalēšanas, citādi salīdzinājums pārvēršas medībās pēc tā, kas salūzt pirmais.
Ko piegādātāja lietotne pievieno ap tuneli
Piegādātāju klienti parasti apvieno reģistrāciju un ierīces stāvokļa pārbaudes, otrā faktora plūsmu ar savu saskarni, pastāvīgu bloķēšanu, atjauninājumu kanālu un atbalsta rīkus. Daļa no tā stāv uzreiz blakus protokolam, un daļa ir atsevišķs produkts, kas tikai dala instalētāju. NetworkManager var aizstāt tuneli un tā maršrutēšanu, un dispečera skripti var izraisīt darbības, kad mainās savienojuma stāvoklis. Taču tas neatkārto bloķēšanas dzinēju, sertifikāta atjaunināšanas gaitu vai pieņēmumu par to, kurš lietotājs drīkst pacelt savienojumu.
Vairāk komponentu nenozīmē drošāk, un mazāk nenozīmē vājāk. Jautājums ir, kura komponente īsteno politiku, kuru jums lika ievērot. Ja auditors jautā, kas bloķē trafiku, kad tunelis krīt, atbildei jānosauc kaut kas, kas to patiešām dara, un profils, kas tikai pieslēdzas, nav šī atbilde.
Kur īpašumtiesības patiešām atšķiras
Lasiet to kā īpašumtiesību karti, nevis kontrolsarakstu, jo zemāk minētās kļūmes ir īpašumtiesību robi, un nekāds klienta konfigurācijas apjoms tos neaizver. Katra rinda nosauc slāni, pusi, kura to šodien parasti tur, un vietu, kur robs parādās pirmais.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Sasaistiet katru rindu ar novērojumu, ko varat atkārtot, nevis ar sajūtu par klientu. Vārds, kas atrisināts ar paredzēto atrisinātāju, maršruts, kas pazūd, kad tunelis apstājas, un bloķēts savienojums pēc simulētas pārtraukšanas ir trīs novērojumi, kas kopā nosedz lielāko daļu tabulas. Pierakstiet novērojumu blakus prasībai, ko tas pierāda, un saglabājiet neveiksmīgos, jo neveiksmīgs novērojums ir vienīgā ieraksta daļa, kas paredz nākamo incidentu.
Pārslēgšanās bez pārklājošām īpašumtiesībām
Piegādātāja klienta un NetworkManager savienojuma vienlaicīga darbināšana vienam un tam pašam pakalpojumam ir visbiežākais veids, kā šie salīdzinājumi aiziet greizi. Abi instalē maršrutus, abi var iestatīt DNS, un abi var aizskart ugunsmūra stāvokli. Tas, ko jūs tad mērāt, ir trešais izkārtojums, kas neatbilst neviena no abiem klientiem dokumentētajai uzvedībai.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Pirmā komanda pasaka, vai profils vispār ir VPN tips. Otrā parāda spraudņa pakalpojuma tipu un to, kuri noslēpumi ir saglabāti, kas ir svarīgi, kad atslēga tiek gaidīta no aģenta, nevis no faila. Žurnāls ir vieta, kur spraudnis, kas ielādējās, bet nespēja vienoties, to pateiks. Ja neviens no trim neuzrāda problēmu, robs ir politikas slāņos virs tuneļa, nevis savienojumā.
Atvienojiet veco klientu pirms jaunā savienojuma iespējošanas, saglabājiet galapunktus un kontu identiskus, un pierakstiet, kura komponente pārvalda maršrutus, atrisinātāja iestatījumus un bloķēšanu. Tieši šī piezīme neļauj nākamajam atjauninājumam beigties ar diviem īpašniekiem.