Gjev Libertine Ubuntu Touch ein VPN for heile telefonen?

På Ubuntu Touch vert to spørsmål stilte som eitt: vil denne skrivebordspakken køyre, og får telefonen eit VPN. Containeren svarar på det fyrste. Ingenting i han svarar på det andre, for ein container har sitt eige syn på filsystemet, medan nettverksstakken og politikken hans høyrer til telefonen. Følg kvar kvar del bur før du lovar ein arbeidsflyt.

To spørsmål som ser ut som eitt

Å køyre eit skrivebordsprogram i ein container er ein pakkebragd. Å få tilkoplingshandsamaren til telefonen til å setje opp ein tunnel, halde han gjennom dvale og avgjere kva som skjer når han fell, er plattformarbeid. Ein installatør som fullførast inne i containeren beviser berre at avhengnadene vart løyste der. Han seier ingenting om telefonen har eit godkjent VPN-plugin, om tunnelen overlever ein omstart, eller kva program som brukar han.

Hald dei to i skilde setningar i kvar vurdering. Å slå dei saman er korleis ein laboratoriedemo vert ei støtteforplikting ingen kan innfri.

Kva containergrensa faktisk gjev

Ein Libertine-container er eit skrivbart miljø lagt over ein telefon der grunnsystemet er skriveverna. Difor verkar det i det heile å installere ein pakke der, og difor verkar ikkje den same installasjonen på grunnsystemet. Han køyrer òg program i forgrunnen, integrert med skjermen til telefonen, og han er uttrykkeleg ikkje ein måte å køyre serverprogramvare på eller halde ein prosess levande i bakgrunnen. Desse avgrensingane tel for ein VPN-klient, som er venta å halde seg oppe.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Oppføringa viser kva containerar som finst, og info-kommandoen rapporterer distribusjonen og installasjonsstatusen. launch-kommandoen gjev deg eit skal inni, og det er rett stad å undersøkje kva pakken faktisk installerte. Det han ikkje gjev deg, er myndigheit over nettverket til telefonen. Ei binærfil inne i containeren som vil lage ein tunnel treng eit privilegert grensesnitt, og det grensesnittet høyrer til plattforma, ikkje containeren.

Kvar nettverkstilstanden til telefonen bur

Namn, ruter og tilkoplingsprofilar vert styrte av nettverkstenesta til telefonen, utanfor kvar container. Ei tunneloppføring syner seg der berre når plattforma støttar den VPN-typen og operatøren har installert den tilsvarande plugin-en.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Tilkoplingslista er det autoritative svaret på om det finst ein VPN-profil på denne telefonen. Viss tunnelen din manglar på den lista, vil inga mengd arbeid inne i containeren få han til å synast. Ruteoppslaget svarar på eit trongare spørsmål: kva grensesnitt denne telefonen ville bruke for ein destinasjon. Det er kontrollen som vert gjenteken etter kvar endring, for ein profil kan finnast og likevel ikkje vere vegen eit gjeve program tek.

Les éin arbeidsflyt frå ende til annan

Vel den verkelege oppgåva, til dømes å nå ei privat database med ein skrivebordsklient. Følg så flyten: programmet startar i containeren, løyser opp vertsnamnet gjennom den oppløysaren telefonen brukar, opnar ein socket, og rutinga i telefonen avgjer kva grensesnitt som ber han. Kvart steg har ein eigar. Containeren eig programmet, plattforma eig oppløysaren og rutinga, og VPN-endepunktet eig autentiseringa. Ein feil på eit kvar som helst steg er ein feil i det steget, ikkje i heile ideen.

Test det private vertsnamnet og den private adressa kvar for seg. Eit namn som løyser seg til ei openberr adresse, og ei adresse som vert ruta inn i ein tunnel, er ulike observasjonar, og å blande dei gjev ein rapport som ikkje kan gjerast om att.

Kva som skal noterast når svaret er nei

Stundom er den ærlege konklusjonen at denne telefonen, på denne utgåva, ikkje kan bere arbeidsflyten. Skriv det ned med prova: kva tilkoplingstypar plattforma byd, kva klientar som vart prøvde, og kva steg som feila.

Oppgje så alternativet som vart godteke, anten det er ein annan eining, ein annan tilgangsmetode eller ei trongare oppgåve som vert inne i containeren utan å røre private nettverk.

Motstå freistinga til å remontere grunnsystemet eller gje uforklarte rettar for å gjere om att ei gamal oppskrift. Ein telefon som startar er ikkje det same som ein telefon der du enno kan resonnere om nettverkspolitikken eit halvt år seinare.