Секундарен VPN припаѓа на еден Wi-Fi профил, не на сите

Поставете VPN како секундарен на домашната Wi-Fi врска и сѐ функционира, додека лаптопот не се поврзе со друга пристапна точка и тунелот остане долу. Новата врска е посебен конфигурациски објект со сопствен UUID и нема причина да знае за врската што ја создадовте за неговиот претходник. Ништо не се расипа; асоцијацијата едноставно никогаш не постоела.

Референцата за врски на NetworkManager ги дефинира секундарните како UUID што се активираат заедно со одредена основна врска. Таа исто така забележува дека обичните VPN профили не имплементираат автоматско активирање како основните врски. Двете тврдења водат до истиот заклучок: асоцијацијата е по профил и некој мора да ја создаде за секој нов.

Што всушност е секундарен

Основната врска има идентитет, UUID и список на секундарни. Кога се активира, менаџерот ги активира и тие секундарни по ред и така VPN следи Wi-Fi мрежа без рачно кликнување. Врската живее на основната врска, запишана како UUID стрингови, а не како имиња. Овој избор на претставување не е случаен; токму тој ѝ овозможува на асоцијацијата да преживее преименување.

Тој детаљ за имињата е поважен отколку што изгледа. Преименувањето на VPN профил го остава неговиот UUID недопрен, па постоечките асоцијации продолжуваат да работат. Бришењето на стариот профил и увезувањето нов создава нов UUID, и секоја асоцијација што покажуваше на стариот сега не покажува на ништо.

Прегледајте го постоечкиот список пред да додадете. Домашен профил со еден секундарен не е правило што одговара на секој SSID; тоа е еден ред во еден објект и нема да биде консултиран кога ќе се активира друга основа.

Поставете ја асоцијацијата таму каде што се создаваат профилите

На лична машина, направете прикачувањето на предвидениот секундарен дел од додавањето на секој дозволен Wi-Fi профил. Тоа е навика, а не функција, но навика што создава конзистентна состојба и бара една команда или две посети на дијалогот по мрежа. Водете кратка белешка за тоа кои мрежи треба да го носат тунелот, бидејќи списокот е политиката.

На управувани уреди нека работниот тек за обезбедување ја создава Wi-Fi ставката и нејзината VPN асоцијација во истиот чекор и примени го истиот третман на дозволените профили што веќе постојат. Дистрибуирањето само на VPN профил ги остава основните односи неодредени и така еден парк добива тунел што го користат само половина од лаптопите.

Каде што корисниците сѐ уште можат да создаваат профили надвор од управуваната патека, одлучете експлицитно што се случува со тие ставки. Претпоставката дека наследуваат асоцијација не е политика; таа е надеж со прикачен трошок за поддршка.

Планирајте ја промената на идентитетот на VPN

Изворот за обезбедување бара UUID на предвидениот VPN, а не прикажано име што некој го погодил. Кога одржувањето го заменува тој VPN со новоувезен објект, во истата промена ажурирајте го шаблонот за обезбедување и засегнатите постоечки асоцијации. Преименувањето не е замена, а третирањето на двете како еквивалентни е начинот на кој функционално распоредување се расипува една недела подоцна.

Чувајте го UUID до причината поради која постои. Иден инженер што ќе најде гол UUID во список на секундарни нема начин да каже дали е актуелен и веројатно ќе го избрише додека средува.

Активирањето не е спроведување

Барањето за секундарен се случува во моментот на активирање. Тоа не ги блокира апликациите во интервалот пред да заврши автентикацијата и не го запира сообраќајот откако тунелот ќе откаже. Тоа се различни својства што ги обезбедуваат различни механизми, а нивното мешање создава дизајн што изгледа строг во профилот, а е попустлив во практиката.

Блокирањето директен сообраќај е посебна функција со сопствена конфигурација и сопствени режими на откажување и мора да го земе предвид сообраќајот што мора да стигне до мрежата пред да може да постои било каков тунел: заробени портали, страници за најава, самата крајна точка. Политика на блокирање што не може да се исполни пред автентикација ја заклучува машината надвор од токму таа мрежа што ѝ е потребна.

Ставете ја таа разлика во упатствата што корисниците навистина ги читаат. Нова Wi-Fi мрежа може да побара тунелот; спроведувањето одлучува дали нешто смее да излезе кога не може да се поврзе. Корисниците на кои им е кажана само првата половина ќе пријават дека дизајнот е расипан.

Тестирајте со навистина нов профил

Користете одобрена тест мрежа и новосоздаден основен профил, а не домашната ставка што веќе работи. Набљудувајте го активирањето на основата, бараниот секундарен UUID и секое барање за автентикација по ред и забележете во која фаза запира кога запира. Тајниот агент што станува достапен по најавувањето на работната површина не е автоматски присутен во секој контекст на стартување, затоа рестартирањето припаѓа на тест планот. Потоа проверете го предвидениот ресурс и патеката на откажување: дали тунелот се крева пред апликацијата да го побара и што се случува со таа апликација кога автентикацијата ќе откаже?

Потоа проверете го предвидениот ресурс и патеката на откажување: дали тунелот се крева пред апликацијата да го побара и што се случува со таа апликација кога тунелот не може да се автентицира? Тие две набљудувања се критериумите за прифаќање и ниту едно од нив не е видливо во самиот профил.