ConnMan VPN: brakujące menu to demon, a nie protokół

Powszechne przekonanie mówi, że system ConnMan bez pozycji VPN na pulpicie nie ma zainstalowanego wsparcia VPN. Zwykle ma wsparcie dla Wi-Fi, a nie ma dla demona VPN, konfiguracji dostawcy ani agenta uwierzytelniania, i to trzy osobne braki. Menu jest widokiem tych komponentów, a nie samą funkcją. Sprawdzanie wersji i pakowania mówi ci jedną komendą więcej niż dowolna liczba zgłoszeń błędów z pulpitu.

Mit: menu to funkcja VPN

Zacznij od zainstalowanej wersji ConnMana i pakietów, które przyszły razem z nią. Zgłoszenie błędu ze starszego wydania opisuje inny zestaw funkcji, a cytowanie go zwykle kończy się tym, że ktoś reinstaluje menedżer sieci, którego nie trzeba było wymieniać.

Zapisz, co naprawdę masz, zanim cokolwiek zmienisz: plik binarny demona, katalog dostawców i to, czy obecny jest agent.

Który demon posiada tunel

W dokumentacji ConnMana 1.41 dla Debiana bookworm connman-vpnd to demon, który zarządza połączeniami VPN obok connmand. Wymienia integracje dla nazwanych pomocników VPN, w tym OpenVPN i OpenConnect. Ta lista jest stwierdzeniem o pomocnikach, a nie obietnicą, że zadziała każdy protokół czy przepływ uwierzytelniania. Czytaj ją jako listę tego, co sprawdzić, a nie jako gwarancję zgodności.

Następnie dopasuj integrację do zatwierdzonego protokołu bramy. Słowo Cisco nie mówi, czy potrzebujesz połączenia w starym stylu vpnc, czy przepływu zgodnego z AnyConnect, a zły wybór daje błąd uwierzytelniania, który wygląda jak problem z poświadczeniami.

Jeśli zarówno samodzielny pomocnik, jak i ConnMan potrafią podnieść tunel, zdecyduj, który z nich odpowiada za trasy, DNS i cykl życia, zanim którykolwiek zacznie.

Ustawienia demona to nie ustawienia dostawcy

Ogólna konfiguracja demona i konfiguracja pojedynczego dostawcy to różne pliki w różnych formatach. W udokumentowanym układzie bookworm demon czyta /etc/connman/connman-vpn.conf, natomiast pliki zaopatrzenia dostawców leżą w /var/lib/connman-vpn/ z sufiksem .config. Wrzucenie profilu OpenVPN do tego katalogu nie czyni go plikiem zaopatrzenia ConnMana. A podręcznik dostawcy dla tej wersji opisuje sekcje dostawcy i pola specyficzne dla typu, których te pliki naprawdę potrzebują.

Tłumacz tylko przez obsługiwane mapowanie zainstalowanej integracji. Zaufanie do certyfikatu, odwołania do klucza prywatnego, tożsamość bramy, trasy i dane wejściowe uwierzytelniania zachowują każdy swoją rolę, a przykład dla innego typu dostawcy nie jest wymienny tylko dlatego, że oba potrzebują adresu serwera.

Gdy dostawca się nie ładuje, porównaj jego pola z podręcznikiem dla zainstalowanego wydania, a nie z przykładem z bloga.

Agent uwierzytelniania to osobna zależność

Definicja dostawcy nadal może wymagać agenta do uzyskania poświadczeń lub dokończenia wymiany uwierzytelniania. Dla integracji z OpenConnect ten sam podręcznik wyjaśnia, że brakujące wartości związane z uwierzytelnianiem można zamówić przez VPN Agent API i że krótkotrwałe ciasteczko zazwyczaj nie nadaje się jako stały sekret konfiguracji. Ten mechanizm nie gwarantuje obsługi każdego logowania w przeglądarce, żądania MFA ani sprawdzenia stanu bramy. Potwierdź cały przepływ z osobą odpowiedzialną za wdrożenie.

Nie rekompensuj braku agenta, zapisując hasło lub token sesji w szeroko czytelnym pliku. To zamienia brakującą integrację w ujawnienie poświadczeń, a drugi problem żyje dłużej niż pierwszy.

Jeśli brama wymaga interaktywnego logowania, agent jest częścią projektu, a nie opcjonalnym dodatkiem.

Sprawdź cztery wyniki, a nie jeden

Po autoryzowanym zaopatrzeniu sprawdź cztery rzeczy osobno: dostawca jest wybrany, połączenie jest uwierzytelnione, efektywne trasy są tymi, które zamierzałeś, a resolver zachowuje się zgodnie z oczekiwaniami. Działający demon, wymieniony dostawca i aplikacja docierająca do swojego zasobu to trzy różne wyniki, a tylko ostatni jest rzeczywistym celem użytkownika. Osobne ich zapisanie mówi, który etap naprawić.

Uwzględnij w tym sprawdzeniu zachowanie przy ponownym łączeniu i wymaganą politykę stanu niedostępności, bo tunel, który podnosi się raz i nigdy nie wraca, nie jest wdrożony. Utrzymuj działającą konfigurację sieci bazowej jako odtwarzalną, gdy zmieniasz integrację VPN.

Zastąpienie menedżera Wi-Fi, aby dostać przycisk, to znacznie większa zmiana niż wymagana brakująca operacja, i zwykle wygrywa mit.