Aplikasi VPN vendor berbanding NetworkManager: siapa yang memiliki keadaan?
Profil menamakan pemalam, bukan tingkah laku klien vendor. Petakan siapa yang memiliki pendaftaran, DNS, sekatan dan kemas kini sebelum anda menukar komputer riba terurus.
Mengimport profil bukanlah sama dengan menggantikan klien. NetworkManager menyimpan jenis pemalam bersama data dan rahsia khusus pemalam, dan pemalam yang memiliki jenis itu menentukan apa yang boleh dilakukan oleh sambungan. Semua yang dilapisi oleh aplikasi vendor di atasnya, daripada pendaftaran hingga sekatan berterusan, hidup di luar fail. Sama ada pertukaran itu selamat bergantung pada lapisan mana yang benar-benar anda harapkan.
Fail menamakan pemalam, bukan set ciri
Rujukan tetapan VPN NetworkManager menerangkan jenis perkhidmatan yang memilih pemalam, serta kamus data legap dan kamus rahsia yang hanya ditafsirkan oleh pemalam. Profil ialah kontrak dengan satu pelaksanaan, bukan penerangan tingkah laku yang boleh dihasilkan semula oleh mana-mana klien. Dua klien boleh bertutur protokol yang sama dan masih berbeza dalam apa yang dirundingkan dan laluan data mana yang mereka dayakan. Label protokol memberitahu anda apa itu terowong, tidak pernah apa yang dilakukan oleh klien di sekelilingnya dengannya.
Jadi bandingkan keperluan, bukan pembalut. Persoalannya bukan sama ada alternatif itu boleh bersambung, kerana biasanya boleh; persoalannya ialah sama ada setiap keperluan yang menjadikan klien asal boleh diterima bertahan selepas perpindahan. Tuliskan keperluan itu sebelum memasang apa-apa, jika tidak perbandingan menjadi pemburuan apa yang rosak dahulu.
Apa yang ditambah oleh aplikasi vendor di sekeliling terowong
Klien vendor biasanya menggabungkan pendaftaran dan pemeriksaan postur peranti, aliran faktor kedua dengan antara muka sendiri, sekatan berterusan, saluran kemas kini dan alat sokongan. Sebahagiannya terletak di sebelah protokol, dan sebahagian lagi ialah produk berasingan yang hanya berkongsi pemasang. NetworkManager boleh menggantikan terowong dan penghalangannya, dan skrip penghantar boleh mencetuskan tindakan apabila keadaan sambungan berubah. Namun ia tidak menghasilkan semula enjin sekatan, aliran pembaharuan sijil atau andaian tentang pengguna mana yang boleh menaikkan sambungan.
Lebih banyak komponen tidak bermakna lebih selamat, dan lebih sedikit tidak bermakna lebih lemah. Persoalannya ialah komponen mana yang menguatkuasakan dasar yang disuruh anda ikuti. Jika juruaudit bertanya apa yang menyekat trafik apabila terowong jatuh, jawapannya mesti menamakan sesuatu yang benar-benar melakukannya, dan profil yang hanya bersambung bukanlah jawapan itu.
Di mana pemilikan sebenarnya berbeza
Baca ini sebagai peta pemilikan dan bukan senarai semak, kerana kegagalan di bawah ialah jurang pemilikan dan tiada jumlah konfigurasi klien yang menutupnya. Setiap baris menamakan lapisan, pihak yang biasanya memegangnya hari ini, dan tempat jurang itu muncul dahulu.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Pasangkan setiap baris dengan pemerhatian yang boleh anda ulang, bukan perasaan tentang klien. Nama yang diselesaikan melalui penyelesai yang dimaksudkan, laluan yang hilang apabila terowong berhenti, dan sambungan yang disekat selepas pemutusan simulasi ialah tiga pemerhatian yang bersama-sama meliputi sebahagian besar jadual. Tulis pemerhatian di sebelah keperluan yang dibuktikannya, dan simpan yang gagal, kerana pemerhatian yang gagal ialah satu-satunya bahagian rekod yang meramalkan insiden seterusnya.
Bertukar tanpa pemilikan bertindih
Menjalankan klien vendor dan sambungan NetworkManager untuk perkhidmatan yang sama secara serentak ialah cara paling biasa perbandingan ini menjadi salah. Kedua-duanya memasang laluan, kedua-duanya mungkin menetapkan DNS, dan kedua-duanya mungkin menyentuh keadaan firewall. Apa yang anda ukur ketika itu ialah susunan ketiga yang tidak sepadan dengan tingkah laku terdokumentasi mana-mana daripada kedua-dua klien.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Perintah pertama memberitahu sama ada profil itu jenis VPN sama sekali. Yang kedua menunjukkan jenis perkhidmatan pemalam dan rahsia mana yang disimpan, yang penting apabila kunci dijangka daripada ejen dan bukan daripada fail. Jurnal ialah tempat pemalam yang dimuatkan tetapi gagal berunding akan menyatakannya. Jika tiada satu pun daripada ketiga-tiganya menunjukkan masalah, jurang itu terletak pada lapisan dasar di atas terowong, bukan pada sambungan.
Putuskan klien lama sebelum mendayakan sambungan baharu, kekalkan titik akhir dan akaun sama, dan catat komponen mana yang memiliki laluan, tetapan penyelesai dan sekatan. Nota itulah yang menghalang kemas kini seterusnya daripada berakhir dengan dua pemilik.