Ein sekundær VPN høyrer til éin Wi-Fi-profil, ikkje alle

Set opp ein VPN som sekundær for heimanettverket og alt fungerer, heilt til maskinen koplar seg til eit anna tilgangspunkt og tunnelen blir liggjande nede. Den nye forbindelsen er eit eige konfigurasjonsobjekt med sin eigen UUID, og han har inga grunn til å kjenne bandet du oppretta for forgjengaren. Ingenting gjekk i stykke; tilknytinga fanst rett og slett aldri.

Tilkoplingsreferansen til NetworkManager definerer sekundære som UUID-ar som blir aktiverte saman med ei bestemd basisforbindelse. Han merkar seg òg at vanlege VPN-profilar ikkje implementerer automatisk aktivering slik basisforbindelsar gjer. Begge utsegnene peikar mot same konklusjon: tilknytinga er per profil, og nokon må opprette ho for kvar ny.

Kva ein sekundær eigenleg er

Ei basisforbindelse har ein identitet, ein UUID og ei liste over sekundære. Når ho blir aktivert, aktiverer behandlaren òg desse sekundære i rekkjefølgje, og det er slik ein VPN følgjer eit Wi-Fi-nettverk utan eit manuelt klikk. Relasjonen ligg på basisforbindelsen, skriven som UUID-strengar i staden for namn. Det valet av representasjon er ikkje tilfeldig; det er det som gjer at tilknytinga overlever ei omdøypping.

Den detaljen om namn betyr meir enn han ser ut til. Omdøypping av ein VPN-profil lèt UUID-en vere urørt, slik at eksisterande tilknytingar held fram med å verke. Sletting av den gamle profilen og import av ein ny gjev ein ny UUID, og kvar tilknyting som peikte på den gamle, peikar no på ingenting.

Undersøk den eksisterande lista før du legg til. Ein heimeprofil med éin sekundær er ikkje ein regel som passar på kvart SSID; det er éi rad i eitt objekt, og ho blir ikkje spurd når ein annan basis blir aktivert.

Plasser tilknytinga der profilane blir oppretta

På ein personleg maskin gjer du vedlegginga av den tiltenkte sekundære til ein del av å leggje til kvar tillaten Wi-Fi-profil. Det er ein vane snarare enn ein funksjon, men ein vane som gjev ein konsistent tilstand, og han kostar éin kommando eller to dialogbesøk per nettverk. Hald eit kort notat om kva nettverk som skal bera tunnelen, fordi lista er policyen.

På styrte einingar bør provisjoneringsflyten opprette Wi-Fi-oppføringa og VPN-tilknytinga hennar i same trinn, og bruke same handsaming på tillatne profilar som allereie finst. Å distribuere ein VPN-profil åleine lèt basisrelasjonane vere uspesifiserte, og det er slik ein flåte endar opp med ein tunnel som berre halvparten av maskinene brukar.

Der brukarar framleis kan opprette profilar utanfor den styrte vegen, må du bestemme eksplisitt kva som skjer med desse oppføringane. Å anta at dei arvar ei tilknyting er ikkje ein policy; det er eit håp med ein støttekostnad.

Planlegg for at identiteten til VPN-en endrar seg

Provisjoneringskjelda treng UUID-en til den tiltenkte VPN-en, ikkje eit visingsnamn nokon har gjett. Når vedlikehald erstattar den VPN-en med eit nyimportert objekt, oppdaterer du provisjoneringsmalen og dei berørte eksisterande tilknytingane i same endring. Ei omdøypping er ikkje ei erstatning, og å handsame dei to som likeverdige er korleis ein fungerande utrulling bryt saman ei veke seinare.

Oppbevar UUID-en ved sida av grunnen til at han finst. Ein framtidig ingeniør som finn ein bar UUID i ei liste over sekundære, kan ikkje avgjere om han er gjeldande, og slettar han truleg under opprydding.

Aktivering er ikkje handheving

Ein førespurnad om sekundær skjer på aktiveringstidspunktet. Han blokkerer ikkje program i intervallet før autentiseringa er fullført, og han stoppar ikkje trafikk etter at tunnelen feilar. Dette er ulike eigenskapar levert av ulike mekanismar, og å blande dei gjev eit design som ser strengt ut i profilen og er ettergjevande i praksis.

Blokkering av direkte trafikk er ein eigen funksjon med sin eigen konfigurasjon og sine eigne feilmodusar, og han må ta omsyn til trafikken som må nå nettverket før nokon tunnel kan eksistere: captive-portalar, påloggingssider, sjølve endepunktet. Ein blokkeringspolicy som ikkje kan oppfyllast før autentisering, låser maskinen ute frå netttopp det nettverket ho treng.

Set den forskjellen inn i instruksjonane brukarane faktisk les. Eit nytt Wi-Fi-nettverk kan be om tunnelen; handhevinga avgjer om noko får gå ut når det ikkje kan kople til. Brukarar som berre får fortalt den første halvdelen, vil rapportere designet som øydelagt.

Test med ein verkeleg ny profil

Bruk eit godkjent testnettverk og ein nyoppretta basisprofil, ikkje heimeoppføringa som allereie verkar. Observer basisaktiveringa, den førespurde sekundære UUID-en og eventuell autentiseringsførespurnad i rekkjefølgje, og noter kva trinn som stoppar når det stoppar. Ein hemmeleg agent som blir tilgjengeleg etter innlogging på skrivebordet, er ikkje automatisk til stades i kvar oppstartskontekst, så ein omstart høyrer med i testplanen. Kontroller deretter den tiltenkte ressursen og feilvegen: kjem tunnelen opp før programmet treng han, og kva skjer med det programmet når autentiseringa feilar?

Kontroller deretter den tiltenkte ressursen og feilvegen: kjem tunnelen opp før programmet treng han, og kva skjer med det programmet når tunnelen ikkje kan autentisere? Dei to observasjonane er akseptkriteria, og ingen av dei er synleg i sjølve profilen.