Grijze NetworkManager-bediening? Controleer eigendom vóór rechten

Grijs gemaakte VPN-schakelaars in het desktopmenu melden dat er iets mis is en niets over wat. Dat is een waarneming, geen diagnose. Drie verschillende grenzen kunnen dezelfde dode bediening opleveren: NetworkManager bezit het apparaat misschien niet, de sessie mist misschien de toestemming om het te wijzigen, of de VPN-editorplug-in is misschien helemaal niet geïnstalleerd. De verkeerde grens wijzigen is hoe een reparatie van vijf minuten een middag pakketten herinstalleren wordt.

Drie alleen-lezen opdrachten scheiden de gevallen voordat er iets wordt gewijzigd.

Stel de drie vragen in volgorde

nmcli device status
nmcli general permissions
nmcli connection show

Dit zijn inspectieopdrachten voor een systeem dat NetworkManager echt gebruikt, en ze zijn veilig om als gewone gebruiker uit te voeren. Houd privé-verbindingsgegevens buiten openbare logs als je de uitvoer ergens plakt.

De apparaatstatus beantwoordt of de interface beheerd en bruikbaar is. De rechtenweergave beantwoordt wat de aanroepende sessie mag doen. De verbindingslijst toont welke profielen bestaan; hij bewijst niet dat een passende VPN-editor of importplug-in is geïnstalleerd.

Eigendom en toestemming zijn verschillende storingen

Een apparaat dat als onbeheerd is gemarkeerd, valt buiten de controle van NetworkManager, en geen enkele hoeveelheid rechten levert een werkende schakelaar op. De ifupdown-plug-in is een veelvoorkomende oorzaak: de managed-instelling bepaalt hoe vermeldingen in het interfaces-bestand worden behandeld, en een achtergebleven blok kan een interface onder de oude gereedschappen houden. Het bestaan van het bestand is geen instructie om de inhoud te verwijderen, en vermeldingen verwijderen die je niet hebt geschreven is een goede manier om de verbinding te verliezen.

Toestemming is een aparte as. NetworkManager autoriseert niet-root-aanroepers via PolicyKit, en het gerapporteerde antwoord kan yes, auth of no zijn. Een sessie zonder authenticatieagent rapporteert auth en faalt daarna stil in de desktop, wat op een kapotte bediening lijkt in plaats van een ontbrekende agent.

Repareer geen van beide door de desktop als root te draaien

De hele sessie als root draaien om één schakelaar te laten werken verandert het beveiligingsmodel van elke toepassing op de machine. Het verbergt ook de onderliggende foutconfiguratie in plaats van die te documenteren. Als een actie administratieve autorisatie nodig heeft, is dat het bedoelde ontwerp, en de oplossing hoort in het beleid of in hoe de agent wordt gestart.

Start om dezelfde reden geen tweede kopie van NetworkManager of een concurrerende daemon. Twee beheerders die ruziën over hetzelfde apparaat leveren een toestand op waarover moeilijk te redeneren valt en die nog moeilijker te ondersteunen is. Als een tweede daemon de enige manier lijkt om de bediening terug te krijgen, is de configuratie van de eerste beheerder het ding dat gerepareerd moet worden. Stop de extra daemon voordat je iets anders wijzigt, anders meet de volgende test ze beide tegelijk.

De plug-invraag gaat ook over de editor

Het maken of importeren van een VPN-verbinding vereist de plug-in die dat verbindingstype levert, en op een desktop is meestal ook een editorintegratie nodig. Het pakket aan de servicekant kan aanwezig zijn terwijl het editorformulier ontbreekt, waardoor een menu-item kan bestaan en toch falen. Controleer beide helften tegen de verpakking van de distributie in plaats van aan te nemen dat één pakket alles installeert.

Een losstaand cliëntbinair bestand is ook geen bewijs. Het installeren van een OpenVPN-binair bestand geeft de desktop-editor nog geen formulier om een OpenVPN-profiel te maken.

Repareer de verantwoordelijke grens en verifieer daarna

Als je weet welke grens fout is, wijzig dan alleen die. Een apparaat als beheerd markeren, een toestemming verlenen of een editorpakket installeren zijn drie verschillende bewerkingen met drie verschillende risicoprofielen, en ze door elkaar halen maakt het resultaat niet toe te schrijven. Als het eigendom moet verschuiven, doe dat met console- of out-of-band-toegang beschikbaar, want een fout daar kan het netwerk weghalen dat je gebruikt om het te repareren.

Verifieer daarna met het echte account en het echte profiel: bevestig de route, de DNS-weergave en waar het geheim is opgeslagen. Ingeschakelde knoppen zijn een interfacestatus, geen bewijs dat een tunnel werkt. Leg de apparaatstatus, het rechtenantwoord en de plug-inversie vast in het ticket, zodat de volgende persoon weet welke grens werkelijk is gewijzigd.