Czy Libertine daje Ubuntu Touch VPN na cały telefon?

W Ubuntu Touch dwa pytania zadaje się jak jedno: czy ten pakiet biurkowy zadziała i czy telefon dostanie VPN. Kontener odpowiada na pierwsze. Nic w nim nie odpowiada na drugie, bo kontener ma własny widok systemu plików, a stos sieciowy i jego polityka należą do telefonu. Prześledź, gdzie żyje każdy element, zanim obiecasz przepływ pracy.

Dwa pytania, które wyglądają jak jedno

Uruchamianie aplikacji biurkowej w kontenerze to osiągnięcie pakowania. Skłonienie menedżera połączeń telefonu, by ustanowił tunel, utrzymał go przez uśpienie i zdecydował, co się dzieje przy zerwaniu, to praca platformy. Instalator, który kończy się w kontenerze, dowodzi tylko, że zależności zostały tam rozwiązane. Nie mówi nic o tym, czy telefon ma zatwierdzoną wtyczkę VPN, czy tunel przetrwa restart ani które aplikacje go używają.

Trzymaj oba w osobnych zdaniach w każdej ocenie. Ich scalanie to sposób, w jaki pokaz laboratoryjny staje się zobowiązaniem wsparcia, którego nikt nie może dotrzymać.

Co naprawdę daje granica kontenera

Kontener Libertine to środowisko zapisywalne nałożone na telefon, którego system bazowy jest tylko do odczytu. Dlatego instalacja pakietu tam w ogóle działa i dlatego ta sama instalacja w systemie bazowym nie działa. Uruchamia też aplikacje na pierwszym planie, zintegrowane z ekranem telefonu, i wprost nie jest sposobem na uruchamianie oprogramowania serwerowego ani utrzymywanie procesu przy życiu w tle. Te ograniczenia mają znaczenie dla klienta VPN, który ma pozostać włączony.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Lista pokazuje, jakie kontenery istnieją, a polecenie info raportuje dystrybucję i stan instalacji. Polecenie launch daje powłokę w środku i to właściwe miejsce, by sprawdzić, co pakiet faktycznie zainstalował. Czego nie daje, to władzy nad siecią telefonu. Plik binarny w kontenerze, który chce utworzyć tunel, potrzebuje uprzywilejowanego interfejsu, a ten interfejs należy do platformy, nie do kontenera.

Gdzie żyje stan sieci telefonu

Nazwy, trasy i profile połączeń są zarządzane przez usługę sieciową telefonu, poza jakimkolwiek kontenerem. Wpis tunelu pojawia się tam tylko wtedy, gdy platforma obsługuje ten typ VPN, a operator zainstalował odpowiednią wtyczkę.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Lista połączeń jest miarodajną odpowiedzią na pytanie, czy na tym telefonie jest profil VPN. Jeśli twojego tunelu nie ma na tej liście, żadna praca w kontenerze nie sprawi, że się pojawi. Wyszukiwanie trasy odpowiada na węższe pytanie: którego interfejsu ten telefon użyłby dla jednego celu. To jest sprawdzenie, które trzeba powtarzać po każdej zmianie, bo profil może istnieć i mimo to nie być drogą, którą obiera dana aplikacja.

Przeczytaj jeden przepływ pracy od początku do końca

Wybierz rzeczywiste zadanie, na przykład dotarcie do prywatnej bazy danych klientem biurkowym. Potem śledź przepływ: aplikacja startuje w kontenerze, rozwiązuje nazwę hosta przez dowolny resolver, którego używa telefon, otwiera gniazdo, a routing telefonu decyduje, który interfejs ją niesie. Każdy krok ma właściciela. Kontener posiada aplikację, platforma posiada resolver i routing, a punkt końcowy VPN posiada uwierzytelnianie. Awaria na którymkolwiek kroku jest awarią tego kroku, nie całego pomysłu.

Testuj prywatną nazwę hosta i prywatny adres osobno. Nazwa, która rozwiązuje się na adres publiczny, i adres, który jest routowany do tunelu, to różne obserwacje, a ich pomieszanie daje raport, którego nie da się odtworzyć.

Co zapisać, gdy odpowiedź brzmi nie

Czasem uczciwym wnioskiem jest, że ten telefon w tym wydaniu nie uniesie przepływu pracy. Zapisz to z dowodami: jakie typy połączeń oferuje platforma, którzy klienci zostali wypróbowani i na którym kroku wystąpiła awaria.

Następnie wskaż przyjętą alternatywę, czy to inne urządzenie, inna metoda dostępu, czy węższe zadanie, które zostaje w kontenerze bez dotykania sieci prywatnych.

Oprzyj się pokusie ponownego zamontowania systemu bazowego albo przyznania niewyjaśnionych uprawnień, by odtworzyć stary przepis. Telefon, który się uruchamia, to nie to samo co telefon, o którego polityce sieciowej wciąż możesz rozumować pół roku później.