Grå NetworkManager-kontroll? Sjekk eierskap før tillatelser

Gråtonede VPN-brytere i skrivebordsmenyen melder at noe er galt og ingenting om hva. Det er en observasjon, ikke en diagnose. Tre forskjellige grenser kan gi den samme døde kontrollen: NetworkManager eier kanskje ikke enheten, økten mangler kanskje tillatelsen til å endre den, eller VPN-redaktørprogramtillegget er kanskje ikke installert i det hele tatt. Å endre den gale grensen er hvordan en fem minutters retting blir en hel ettermiddag med å installere pakker på nytt.

Tre kommandoer som bare leser skiller tilfellene før noe endres.

Still de tre spørsmålene i rekkefølge

nmcli device status
nmcli general permissions
nmcli connection show

Dette er inspeksjonskommandoer for et system som faktisk bruker NetworkManager, og de er trygge å kjøre som vanlig bruker. Hold private tilkoblingsdetaljer unna offentlige logger hvis du limer inn utdataene noe sted.

Enhetsstatusen svarer på om grensesnittet er styrt og brukbart. Tillatelsesvisningen svarer på hva den kallende økten har lov til å gjøre. Tilkoblingslisten viser hvilke profiler som finnes; den beviser ikke at et passende VPN-redaktørprogram eller importtillegg er installert.

Eierskap og tillatelse er forskjellige feil

En enhet som er merket som ikke-styrt, ligger utenfor NetworkManagers kontroll, og ingen mengde tillatelser gir en fungerende bryter. ifupdown-tillegget er en vanlig årsak: innstillingen managed bestemmer hvordan oppføringene i interfaces-filen behandles, og en gjenværende seksjon kan holde et grensesnitt under det gamle verktøyet. At filen finnes er ikke en instruks om å slette innholdet, og å fjerne oppføringer du ikke har skrevet er en god måte å miste tilkoblingen på.

Tillatelse er en egen akse. NetworkManager autoriserer kallere som ikke er root gjennom PolicyKit, og svaret kan være yes, auth eller no. En økt uten en autentiseringsagent rapporterer auth og feiler deretter stille i skrivebordet, noe som ser ut som en ødelagt kontroll snarere enn en manglende agent.

Ikke rett opp noen av dem ved å kjøre skrivebordet som root

Å kjøre hele økten som root for å få én bryter til å virke endrer sikkerhetsmodellen for hver applikasjon på maskinen. Det skjuler også den underliggende feilkonfigurasjonen i stedet for å dokumentere den. Hvis en handling trenger administrativ autorisasjon, er det den tilsiktede utformingen, og rettingen hører hjemme i policyen eller i hvordan agenten startes.

På samme måte bør du ikke starte en andre kopi av NetworkManager eller en konkurrerende daemon. To administratorer som krangler om samme enhet gir en tilstand som er vanskelig å resonnere om og vanskeligere å støtte. Hvis en andre daemon ser ut som den eneste måten å få kontrollen tilbake på, er konfigurasjonen til den første administratoren det som må rettes. Stopp den ekstra daemonen før du endrer noe annet, ellers måler neste test begge på en gang.

Tillegget spørsmålet handler også om redaktøren

Å opprette eller importere en VPN-tilkobling krever tillegget som leverer den tilkoblingstypen, og på et skrivebord trengs vanligvis også en redaktørintegrering. Pakken på tjenersiden kan være til stede mens redaktørskjemaet mangler, og derfor kan en menyoppføring finnes og likevel feile. Kontroller begge halvdeler mot distribusjonens pakking i stedet for å anta at én pakke installerer alt.

En frittstående klientbinær er heller ikke bevis. Å installere en OpenVPN-binær gir ikke skrivebordsredaktøren et skjema for å opprette en OpenVPN-profil.

Rett opp den ansvarlige grensen, og verifiser deretter

Når du vet hvilken grense som er feil, endre bare den. Å merke en enhet som styrt, gi en tillatelse eller installere en redaktørpakke er tre forskjellige operasjoner med tre forskjellige risikoprofiler, og å blande dem gjør resultatet umulig å tilskrive. Hvis eierskapet må flyttes, gjør det med konsoll- eller out-of-band-tilgang tilgjengelig, fordi en feil der kan fjerne nettverket du bruker for å rette det.

Verifiser deretter med den virkelige kontoen og den virkelige profilen: bekreft ruten, DNS-visningen og hvor hemmeligheten er lagret. Aktiverte knapper er en grensesnitttilstand, ikke bevis på at en tunnel fungerer. Registrer enhetsstatusen, tillatelsessvaret og tilleggets versjon i saken, slik at neste person vet hvilken grense som faktisk ble endret.