Połączenie wtórne VPN należy do jednego profilu Wi-Fi, nie do wszystkich

Skonfiguruj VPN jako połączenie wtórne domowego Wi-Fi i wszystko działa, dopóki laptop nie połączy się z innym punktem dostępu i tunel nie pozostanie wyłączony. Nowe połączenie to osobny obiekt konfiguracji z własnym UUID i nie ma powodu znać powiązania utworzonego dla swojego poprzednika. Nic się nie zepsuło; powiązanie po prostu nigdy nie istniało.

Dokumentacja połączeń NetworkManagera definiuje połączenia wtórne jako UUID aktywowane razem z określonym połączeniem bazowym. Zauważa też, że zwykłe profile VPN nie implementują automatycznej aktywacji tak jak połączenia bazowe. Oba stwierdzenia prowadzą do tej samej konkluzji: powiązanie jest przypisane do profilu i ktoś musi je utworzyć dla każdego nowego.

Czym naprawdę jest połączenie wtórne

Połączenie bazowe ma tożsamość, UUID i listę połączeń wtórnych. Gdy się aktywuje, menedżer aktywuje także te połączenia wtórne w kolejności, i w ten sposób VPN podąża za siecią Wi-Fi bez ręcznego kliknięcia. Relacja mieszka w połączeniu bazowym, zapisana jako ciągi UUID, a nie nazwy. Ten wybór reprezentacji nie jest przypadkowy; to on pozwala powiązaniu przetrwać zmianę nazwy.

Ten szczegół dotyczący nazw jest ważniejszy, niż wygląda. Zmiana nazwy profilu VPN pozostawia jego UUID nietknięty, więc istniejące powiązania nadal działają. Usunięcie starego profilu i zaimportowanie nowego tworzy nowy UUID, a każde powiązanie wskazujące na stary wskazuje teraz na nic.

Przejrzyj istniejącą listę przed dodaniem. Profil domowy z jednym połączeniem wtórnym nie jest regułą pasującą do każdego SSID; to jeden wiersz w jednym obiekcie i nie zostanie uwzględniony, gdy aktywuje się inna baza.

Umieść powiązanie tam, gdzie tworzone są profile

Na komputerze osobistym uczyń dołączanie zamierzonego połączenia wtórnego częścią dodawania każdego dozwolonego profilu Wi-Fi. To nawyk, a nie funkcja, ale nawyk, który daje spójny stan, i wymaga jednego polecenia lub dwóch wizyt w oknie dialogowym na sieć. Prowadź krótką notatkę, które sieci mają przenosić tunel, ponieważ lista jest polityką.

Na urządzeniach zarządzanych pozwól przepływowi provisioningu tworzyć wpis Wi-Fi i jego powiązanie VPN w tym samym kroku, i zastosuj to samo podejście do dozwolonych profili, które już istnieją. Dystrybucja samego profilu VPN pozostawia relacje bazowe nieokreślone i tak flota kończy z tunelem, którego używa tylko połowa laptopów.

Tam, gdzie użytkownicy nadal mogą tworzyć profile poza ścieżką zarządzaną, zdecyduj wprost, co dzieje się z tymi wpisami. Założenie, że odziedziczą powiązanie, nie jest polityką; to nadzieja z dołączonym kosztem wsparcia.

Zaplanuj zmianę tożsamości VPN

Źródło provisioningu potrzebuje UUID zamierzonego VPN, a nie nazwy wyświetlanej, którą ktoś zgadł. Gdy konserwacja zastąpi ten VPN świeżo zaimportowanym obiektem, zaktualizuj szablon provisioningu i dotknięte istniejące powiązania w tej samej zmianie. Zmiana nazwy nie jest zastąpieniem, a traktowanie obu jako równoważnych to sposób, w jaki działające wdrożenie psuje się tydzień później.

Przechowuj UUID obok powodu, dla którego istnieje. Przyszły inżynier, który znajdzie goły UUID na liście połączeń wtórnych, nie ma jak stwierdzić, czy jest aktualny, i prawdopodobnie usunie go podczas porządkowania.

Aktywacja nie jest egzekwowaniem

Żądanie połączenia wtórnego następuje w momencie aktywacji. Nie blokuje aplikacji w okresie przed zakończeniem uwierzytelniania i nie zatrzymuje ruchu po awarii tunelu. To różne właściwości zapewniane przez różne mechanizmy, a ich mieszanie daje projekt, który wygląda surowo w profilu, a w praktyce jest pobłażliwy.

Blokowanie ruchu bezpośredniego to osobna funkcja z własną konfiguracją i własnymi trybami awarii, i musi uwzględniać ruch, który musi dotrzeć do sieci, zanim powstanie jakikolwiek tunel: portale przechwytujące, strony logowania, sam punkt końcowy. Polityka blokowania, której nie można spełnić przed uwierzytelnieniem, zamyka maszynę poza właśnie tą siecią, której potrzebuje.

Umieść to rozróżnienie w instrukcjach, które użytkownicy naprawdę czytają. Nowa sieć Wi-Fi może poprosić o tunel; egzekwowanie decyduje, czy cokolwiek może wyjść, gdy nie można się połączyć. Użytkownicy, którym opowie się tylko pierwszą połowę, zgłoszą projekt jako zepsuty.

Testuj z naprawdę nowym profilem

Użyj zatwierdzonej sieci testowej i nowo utworzonego profilu bazowego, a nie wpisu domowego, który już działa. Obserwuj aktywację bazy, żądany UUID połączenia wtórnego i każdy monit uwierzytelniania po kolei, i zanotuj, na którym etapie się zatrzymuje, gdy się zatrzymuje. Tajny agent, który staje się dostępny po zalogowaniu do pulpitu, nie jest automatycznie obecny w każdym kontekście rozruchu, więc restart należy do planu testów. Następnie sprawdź zamierzony zasób i ścieżkę awarii: czy tunel podnosi się, zanim aplikacja go potrzebuje, i co dzieje się z tą aplikacją, gdy uwierzytelnianie zawiedzie?

Następnie sprawdź zamierzony zasób i ścieżkę awarii: czy tunel podnosi się, zanim aplikacja go potrzebuje, i co dzieje się z tą aplikacją, gdy tunel nie może się uwierzytelnić? Te dwa spostrzeżenia są kryteriami akceptacji i żadne z nich nie jest widoczne w samym profilu.