Szary element sterujący NetworkManagera? Sprawdź własność przed uprawnieniami

Wyszarzone przełączniki VPN w menu pulpitu zgłaszają, że coś jest nie tak, i nic o tym, co. To obserwacja, nie diagnoza. Trzy różne granice mogą dać ten sam martwy element sterujący: NetworkManager może nie władać urządzeniem, sesji może brakować uprawnienia do jego zmiany albo wtyczka edytora VPN może w ogóle nie być zainstalowana. Zmiana niewłaściwej granicy sprawia, że pięciominutowa naprawa zamienia się w popołudnie reinstalowania pakietów.

Trzy polecenia tylko do odczytu rozdzielają przypadki, zanim cokolwiek zostanie zmienione.

Zadaj trzy pytania po kolei

nmcli device status
nmcli general permissions
nmcli connection show

To polecenia diagnostyczne dla systemu, który naprawdę używa NetworkManagera, i można je bezpiecznie uruchomić jako zwykły użytkownik. Prywatne dane połączenia trzymaj poza publicznymi logami, jeśli gdziekolwiek wklejasz wynik.

Stan urządzenia odpowiada, czy interfejs jest zarządzany i użyteczny. Widok uprawnień odpowiada, co wywołującej sesji wolno zrobić. Lista połączeń pokazuje, które profile istnieją; nie dowodzi, że zainstalowano pasujący edytor VPN lub wtyczkę importu.

Własność i uprawnienie to różne usterki

Urządzenie oznaczone jako niezarządzane jest poza kontrolą NetworkManagera i żadna ilość uprawnień nie da działającego przełącznika. Wtyczka ifupdown to jedna z częstych przyczyn: jej ustawienie managed decyduje, jak traktowane są wpisy w pliku interfaces, a pozostała sekcja może trzymać interfejs pod starym narzędziem. Istnienie pliku nie jest poleceniem usunięcia jego zawartości, a usuwanie wpisów, których nie napisałeś, to dobry sposób na utratę łączności.

Uprawnienie to osobna oś. NetworkManager autoryzuje wywołujących innych niż root przez PolicyKit, a zgłoszona odpowiedź może brzmieć yes, auth albo no. Sesja bez agenta uwierzytelniania zgłasza auth, a potem po cichu zawodzi na pulpicie, co wygląda na zepsuty element sterujący, a nie na brakującego agenta.

Nie naprawiaj żadnej z nich, uruchamiając pulpit jako root

Uruchomienie całej sesji jako root, żeby zadziałał jeden przełącznik, zmienia model bezpieczeństwa każdej aplikacji na maszynie. Ukrywa też podstawową błędną konfigurację zamiast ją udokumentować. Jeśli czynność wymaga autoryzacji administracyjnej, taki jest zamierzony projekt, a naprawa należy do polityki albo do sposobu uruchamiania agenta.

Podobnie nie uruchamiaj drugiej kopii NetworkManagera ani konkurencyjnego demona. Dwaj menedżerowie kłócący się o to samo urządzenie tworzą stan, o którym trudno rozumować i jeszcze trudniej go wspierać. Jeśli drugi demon wygląda na jedyny sposób odzyskania kontroli, to konfigurację pierwszego menedżera trzeba naprawić. Zatrzymaj dodatkowego demona, zanim zmienisz cokolwiek innego, bo następny test zmierzy oba naraz.

Pytanie o wtyczkę dotyczy też edytora

Utworzenie lub zaimportowanie połączenia VPN wymaga wtyczki dostarczającej ten typ połączenia, a na pulpicie zwykle potrzebna jest też integracja z edytorem. Pakiet po stronie usługi może być obecny, podczas gdy brakuje formularza edytora, dlatego pozycja menu może istnieć i mimo to zawodzić. Sprawdź obie połowy według pakowania dystrybucji, zamiast zakładać, że jeden pakiet instaluje wszystko.

Samodzielny plik binarny klienta też nie jest dowodem. Zainstalowanie pliku binarnego OpenVPN samo w sobie nie daje edytorowi pulpitu formularza do tworzenia profilu OpenVPN.

Napraw odpowiedzialną granicę, a potem sprawdź

Gdy wiesz, która granica jest błędna, zmień tylko ją. Oznaczenie urządzenia jako zarządzanego, przyznanie uprawnienia albo zainstalowanie pakietu edytora to trzy różne operacje o trzech różnych profilach ryzyka, a mieszanie ich sprawia, że wyniku nie da się przypisać. Jeśli własność musi się przenieść, zrób to przy dostępnym konsolowym lub pozapasmowym dostępie, bo błąd tam może usunąć sieć, której używasz do naprawy.

Następnie sprawdź na prawdziwym koncie i prawdziwym profilu: potwierdź trasę, widok DNS i miejsce przechowywania sekretu. Włączone przyciski to stan interfejsu, nie dowód, że tunel działa. Zapisz w zgłoszeniu stan urządzenia, odpowiedź o uprawnieniach i wersję wtyczki, żeby następna osoba wiedziała, która granica naprawdę się zmieniła.