VPN апликација од добавувачот наспроти NetworkManager: чија е состојбата?
Профилот именува приклучок, а не однесувањето на клиентот на добавувачот. Мапирајте чии се регистрацијата, DNS, блокирањето и ажурирањата пред да смените управуван преносен сметач.
Увезувањето профил не е исто како замена на клиент. NetworkManager чува тип на приклучок заедно со податоци и тајни специфични за приклучокот, а приклучокот што го поседува тој тип одлучува што може да прави врската. Сѐ што апликацијата на добавувачот наредува одозгора, од регистрација до постојано блокирање, живее надвор од датотеката. Дали промената е безбедна зависи од тоа на кои од тие слоеви навистина се потпирате.
Датотеката именува приклучок, а не множество функции
Референцата за VPN-поставки на NetworkManager опишува тип на услуга што го избира приклучокот, заедно со непровиден речник на податоци и речник на тајни што ги толкува само приклучокот. Профилот е договор со една имплементација, а не опис на однесување што може да го репродуцира секој клиент. Два клиента можат да зборуваат ист протокол и сепак да се разликуваат во тоа што го преговараат и кои податочни патеки ги овозможуваат. Етикетата на протоколот ви кажува што е тунелот, никогаш што прави околниот клиент со него.
Затоа споредувајте барања, а не обвивки. Прашањето не е дали алтернативата може да се поврзе, бидејќи обично може; прашањето е дали секое барање што го правеше оригиналниот клиент прифатлив ја преживува преселбата. Запишете ги тие барања пред да инсталирате било што, инаку споредбата се претвора во лов на тоа што прво ќе се скрши.
Што додава апликацијата на добавувачот околу тунелот
Клиентите на добавувачите обично групираат регистрација и проверки на состојбата на уредот, тек на втор фактор со сопствен интерфејс, постојано блокирање, канал за ажурирања и алатки за поддршка. Дел од тоа стои до протоколот, а дел е одделен производ што само дели инсталатор. NetworkManager може да го замени тунелот и неговото рутирање, а скриптите на диспечерот можат да активираат дејства кога се менува состојбата на врската. Но тој не репродуцира машина за блокирање, тек на обнова на сертификат или претпоставка за кој корисник смее да ја подигне врската.
Повеќе компоненти не значи побезбедно, а помалку не значи послабо. Прашањето е која компонента ја спроведува политиката што ви беше кажано да ја следите. Ако ревизор праша што го блокира сообраќајот кога ќе падне тунелот, одговорот мора да именува нешто што навистина го прави тоа, а профилот што само се поврзува не е тој одговор.
Каде сопственоста навистина се разликува
Читајте го ова како мапа на сопственост, а не како контролна листа, бидејќи неуспесите подолу се празнини во сопственоста и ниту една количина конфигурација на клиентот не ги затвора. Секој ред го именува слојот, страната што обично го држи денес и местото каде празнината прво се појавува.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Поврзете го секој ред со набљудување што можете да го повторите, а не со чувство за клиентот. Име решено преку предвидениот резолвер, рута што исчезнува кога тунелот застанува и блокирана врска по симулирано прекинување се три набљудувања што заедно покриваат најголем дел од табелата. Запишете го набљудувањето до барањето што го докажува и задржете ги неуспешните, бидејќи неуспешното набљудување е единствениот дел од записот што го предвидува следниот инцидент.
Префрлање без преклопување на сопственоста
Истовременото пуштање на клиентот на добавувачот и врска на NetworkManager за истата услуга е најчестиот начин овие споредби да тргнат наопаку. Двете инсталираат рути, двете може да постават DNS и двете може да ја допрат состојбата на огнениот ѕид. Она што тогаш го мерите е трет распоред што не одговара на документираното однесување на ниту еден од двата клиенти.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Првата команда кажува дали профилот воопшто е тип на VPN. Втората го покажува типот на услуга на приклучокот и кои тајни се зачувани, што е важно кога клучот се очекува од агент наместо од датотеката. Дневникот е местото каде приклучок што се вчитал но не успеал да преговара ќе го каже тоа. Ако ниту една од трите не покаже проблем, празнината е во слоевите на политика над тунелот, а не во врската.
Исклучете го стариот клиент пред да ја овозможите новата врска, задржете ги крајните точки и сметката идентични и запишете која компонента ги поседува рутите, поставките на резолверот и блокирањето. Токму таа белешка спречува следното ажурирање да заврши со два сопственика.