Grå NetworkManager-kontroll? Sjekk eigarskap før løyve

Gråtona VPN-brytarar i skrivebordsmenyen melder at noko er gale og ingenting om kva. Det er ei observasjon, ikkje ein diagnose. Tre ulike grenser kan gje den same daude kontrollen: NetworkManager eig kanskje ikkje eininga, økta manglar kanskje løyvet til å endre henne, eller VPN-redigørprogramtillegget er kanskje ikkje installert i det heile. Å endre den gale grensa er korleis ei retting på fem minutt blir ein heil ettermiddag med å installere pakkar på nytt.

Tre kommandoar som berre les skil tilfella før noko blir endra.

Still dei tre spørsmåla i rekkefølgje

nmcli device status
nmcli general permissions
nmcli connection show

Dette er inspeksjonskommandoar for eit system som faktisk brukar NetworkManager, og dei er trygge å køyre som vanleg brukar. Hald private tilkoplingsdetaljar unna offentlege loggar dersom du limer inn utdataa nokon stad.

Eininga sin status svarar på om grensesnittet er styrt og brukbart. Løyvevisinga svarar på kva den kallande økta har løyve til å gjere. Tilkoplingslista viser kva profilar som finst; ho provar ikkje at eit passande VPN-redigørprogram eller importtillegg er installert.

Eigarskap og løyve er ulike feil

Ei eining som er merkt som ikkje-styrt, ligg utanfor kontrollen til NetworkManager, og inga mengd løyve gir ein fungerande brytar. ifupdown-tillegget er ei vanleg årsak: innstillinga managed avgjer korleis oppføringane i interfaces-fila blir handsama, og ein attverande seksjon kan halde eit grensesnitt under det gamle verktyet. At fila finst er ikkje ein instruks om å slette innhaldet, og å fjerne oppføringar du ikkje har skrive er ein god måte å miste tilkoplinga på.

Løyve er ein eigen akse. NetworkManager autoriserer kallarar som ikkje er root gjennom PolicyKit, og svaret kan vere yes, auth eller no. Ei økt utan ein autentiseringsagent rapporterer auth og feilar deretter stille i skrivebordet, noko som ser ut som ein øydelagd kontroll snarare enn ein manglande agent.

Ikkje rett opp nokon av dei ved å køyre skrivebordet som root

Å køyre heile økta som root for å få éin brytar til å verke endrar tryggingsmodellen for kvar applikasjon på maskina. Det gøymer òg den underliggjande feilkonfigurasjonen i staden for å dokumentere han. Dersom ei handling treng administrativ autorisasjon, er det den tilsikta utforminga, og rettinga høyrer heime i policyen eller i korleis agenten blir starta.

På same måte bør du ikkje starte ein andre kopi av NetworkManager eller ein konkurrerande daemon. To administratorar som kranglar om same eining gir ein tilstand som er vanskeleg å resonnere om og vanskelegare å støtte. Dersom ein andre daemon ser ut som den einaste måten å få kontrollen tilbake på, er konfigurasjonen til den første administratoren det som må rettast. Stopp den ekstra daemonen før du endrar noko anna, elles måler neste test begge på ein gong.

Tilleggsspørsmålet handlar òg om redigøren

Å opprette eller importere ei VPN-tilkopling krev tillegget som leverer den tilkoplingstypen, og på eit skrivebord trengst vanlegvis òg ein redigørintegrering. Pakken på tenarsida kan vere til stades medan redigørskjemaet manglar, og difor kan ei menyoppføring finnast og likevel feile. Kontroller begge halvdelar mot pakkinga til distribusjonen i staden for å gå ut frå at éin pakke installerer alt.

Ein frittståande klientbinær er heller ikkje prov. Å installere ein OpenVPN-binær gir ikkje skrivebordsredigøren eit skjema for å opprette ein OpenVPN-profil.

Rett opp den ansvarlege grensa, og verifiser deretter

Når du veit kva grense som er gal, endre berre den. Å merke ei eining som styrt, gi eit løyve eller installere ein redigørpakke er tre ulike operasjonar med tre ulike risikoprofilar, og å blande dei gjer resultatet umogleg å tilskrive. Dersom eigarskapet må flyttast, gjer det med konsoll- eller out-of-band-tilgang tilgjengeleg, fordi ein feil der kan fjerne nettverket du brukar for å rette det.

Verifiser deretter med den verkelege kontoen og den verkelege profilen: stadfest ruta, DNS-visinga og kvar hemmelegheita er lagra. Aktiverte knappar er ein grensesnitttilstand, ikkje prov på at ein tunnel fungerer. Registrer eininga sin status, løyvesvaret og versjonen til tillegget i saka, slik at neste person veit kva grense som faktisk blei endra.