Нийлүүлэгчийн VPN апп ба NetworkManager: төлөвийг хэн эзэмшдэг вэ?
Профайл нь залгуурыг нэрлэдэг бөгөөд нийлүүлэгчийн клиентийн зан төлөвийг биш. Удирдлагатай зөөврийн компьютерыг солихын өмнө бүртгэл, DNS, блоклолт, шинэчлэлтийн эзэмшлийг тодорхойл.
Профайл импортлох нь клиентийг солихтой ижил зүйл биш. NetworkManager залгуурын төрлийг залгуурт хамаарах өгөгдөл, нууцтай хамт хадгалдаг бөгөөд тэр төрлийг эзэмшдэг залгуур нь холболт юу хийж чадахыг шийддэг. Нийлүүлэгчийн апп дээрээс нэмдэг бүх зүйл, бүртгэлээс эхлээд байнгын блоклолт хүртэл, файлаас гадна амьдардаг. Солилт аюулгүй эсэх нь та тэдгээр давхаргын алинаас нь үнэхээр найдаж байгаагаас хамаарна.
Файл нь функцийн багц биш, залгуурыг нэрлэдэг
NetworkManager-ийн VPN тохиргооны лавлагаа нь залгуурыг сонгодог үйлчилгээний төрлийг, мөн зөвхөн залгуур тайлбарладаг тунгалаг бус өгөгдлийн толь бичиг, нууцын толь бичгийг тайлбарладаг. Профайл нь нэг хэрэгжүүлэлттэй хийсэн гэрээ бөгөөд аль ч клиент хуулж болох зан төлөвийн тайлбар биш. Хоёр клиент ижил протоколоор ярьж болох бөгөөд юу хэлэлцэх, ямар өгөгдлийн зам нээхэд ялгаатай байж болно. Протоколын нэр нь туннель юу болохыг хэлдэг, эргэн тойрны клиент түүгээр юу хийдгийг хэзээ ч хэлдэггүй.
Тиймээс бүрхүүл биш, шаардлагыг харьцуул. Асуулт нь орлуулагч холбогдож чадах эсэх биш, ихэвчлэн чаддаг; асуулт нь анхны клиентийг хүлээн зөвшөөрөхүйц болгосон шаардлага бүр нүүдлийг даван туулах эсэх юм. Ямар нэгэн зүйл суулгахаас өмнө тэр шаардлагуудыг бичиж аваарай, эс бөгөөс харьцуулалт эхлээд юу эвдрэхийг хайх ажил болно.
Нийлүүлэгчийн апп туннелийн эргэн тойронд юу нэмдэг
Нийлүүлэгчдийн клиентүүд ихэвчлэн бүртгэл болон төхөөрөмжийн байдлын шалгалтыг, өөрийн интерфейстэй хоёр дахь хүчин зүйлийн урсгалыг, байнгын блоклолт, шинэчлэлтийн суваг, дэмжлэгийн хэрэгслүүдийг хамт багцалдаг. Үүний нэг хэсэг протоколын хажууд зогсдог, нөгөө хэсэг нь зөвхөн суулгагчийг хуваалцдаг тусдаа бүтээгдэхүүн. NetworkManager туннель болон түүний маршрутчлалыг сольж чадна, холболтын төлөв өөрчлөгдөхөд диспетчерийн скриптүүд үйлдэл эхлүүлж чадна. Гэхдээ энэ нь блоклолтын хөдөлгүүр, гэрчилгээ шинэчлэх урсгал, аль хэрэглэгч холболтыг өргөж болох тухай таамаглалыг дахин үүсгэдэггүй.
Илүү олон бүрэлдэхүүн аюулгүй гэсэн үг биш, цөөн нь сул гэсэн үг биш. Асуулт нь танд дагахыг хэлсэн бодлогыг аль бүрэлдэхүүн хэрэгжүүлж байгаа юм. Хэрэв аудитор туннель унах үед трафикийг юу блоколддог гэж асуувал хариулт нь үнэхээр тэгж хийдэг зүйлийг нэрлэх ёстой, зөвхөн холбогддог профайл тэр хариулт болохгүй.
Эзэмшил үнэхээр хаана ялгаатай вэ
Үүнийг шалгах хуудас биш, эзэмшлийн зураг гэж уншина уу, учир нь доорх алдаа дутагдал нь эзэмшлийн цоорхой бөгөөд клиентийн тохиргоог хэр их хийсэн ч тэдгээрийг хаахгүй. Мөр бүр давхарга, өнөөдөр ихэвчлэн хэн түүнийг барьдаг, цоорхой хамгийн түрүүнд хаана илэрдэг зэргийг нэрлэдэг.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Мөр бүрийг клиентийн тухай мэдрэмж биш, давтаж болох ажиглалттай холбоно уу. Зориулсан шийдэгчээр шийдэгдсэн нэр, туннель зогсоход алга болох маршрут, дуурайсан тасралтын дараа блоклогдсон холболт — эдгээр гурван ажиглалт нийлээд хүснэгтийн ихэнхийг хамардаг. Ажиглалтыг түүнийг нотолж буй шаардлагын хажууд бичээд, бүтэлгүйтсэнийг нь хадгал, учир нь бүтэлгүйтсэн ажиглалт л дараагийн ослыг урьдчилан таамагладаг бүртгэлийн хэсэг.
Эзэмшлийг давхцуулахгүйгээр солих
Нэг үйлчилгээнд нийлүүлэгчийн клиент болон NetworkManager холболтыг зэрэг ажиллуулах нь эдгээр харьцуулалт буруу болох хамгийн түгээмэл зам. Хоёулаа маршрут суулгадаг, хоёулаа DNS тохируулж болно, хоёулаа галт ханын төлөвт хүрч болно. Тэгэхэд та хоёр клиентийн аль нэгний ч баримтжуулсан зан төлөвт тохирохгүй гурав дахь зохион байгуулалтыг хэмждэг.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Эхний команд профайл ерөнхийдөө VPN төрөл эсэхийг хэлнэ. Хоёр дахь нь залгуурын үйлчилгээний төрөл, ямар нууц хадгалагдсаныг харуулдаг бөгөөд түлхүүрийг файлаас биш агентаас хүлээж байгаа үед чухал. Файлд ачаалагдсан боловч хэлэлцэж чадаагүй залгуур үүнийг хэлэх газар нь журнал. Гурвын аль нь ч асуудал харуулахгүй бол цоорхой нь холболтод биш, туннелийн дээд бодлогын давхаргад байна.
Шинэ холболтыг идэвхжүүлэхийн өмнө хуучин клиентийг салгаж, төгсгөлийн цэг болон дансыг ижил байлгаж, маршрут, шийдэгчийн тохиргоо, блоклолтыг аль бүрэлдэхүүн эзэмшиж байгааг бичиж аваарай. Дараагийн шинэчлэлт хоёр эзэнтэй дуусахаас сэргийлдэг нь яг тэр тэмдэглэл.