O Libertine dá ao Ubuntu Touch uma VPN para todo o telefone?

No Ubuntu Touch, duas perguntas são feitas como uma só: este pacote de ambiente de trabalho vai correr, e o telefone vai ter uma VPN. O contentor responde à primeira. Nada nele responde à segunda, porque um contentor tem a sua própria visão do sistema de ficheiros, enquanto a pilha de rede e a sua política pertencem ao telefone. Siga onde vive cada peça antes de prometer um fluxo de trabalho.

Duas perguntas que parecem uma

Executar uma aplicação de ambiente de trabalho dentro de um contentor é uma conquista de empacotamento. Fazer com que o gestor de ligações do telefone estabeleça um túnel, o mantenha durante a suspensão e decida o que acontece quando cai é trabalho de plataforma. Um instalador que termina dentro do contentor prova apenas que as dependências foram resolvidas ali. Não diz nada sobre se o telefone tem um plugin de VPN aprovado, se o túnel sobrevive a um reinício ou que aplicações o usam.

Mantenha as duas em frases separadas em qualquer avaliação. Fundi-las é como uma demonstração de laboratório se torna um compromisso de suporte que ninguém pode cumprir.

O que a fronteira do contentor realmente fornece

Um contentor Libertine é um ambiente de escrita sobreposto a um telefone cujo sistema base é só de leitura. É por isso que instalar um pacote ali funciona de todo, e por isso a mesma instalação no sistema base não funciona. Também executa aplicações em primeiro plano, integradas com o ecrã do telefone, e explicitamente não é uma forma de executar software de servidor nem de manter um processo vivo em segundo plano. Estas restrições contam para um cliente VPN, que se espera que permaneça ativo.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

A listagem mostra que contentores existem, e o comando info relata a distribuição e o estado de instalação. O comando launch dá-lhe uma shell lá dentro, e esse é o lugar certo para inspecionar o que o pacote realmente instalou. O que não lhe dá é autoridade sobre a rede do telefone. Um binário dentro do contentor que queira criar um túnel precisa de uma interface privilegiada, e essa interface pertence à plataforma, não ao contentor.

Onde vive o estado de rede do telefone

Os nomes, as rotas e os perfis de ligação são geridos pelo serviço de rede do telefone, fora de qualquer contentor. Uma entrada de túnel aparece ali apenas quando a plataforma suporta esse tipo de VPN e o operador instalou o plugin correspondente.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

A listagem de ligações é a resposta autorizada a se existe um perfil de VPN neste telefone. Se o seu túnel não estiver nessa lista, nenhuma quantidade de trabalho dentro do contentor o fará aparecer. A consulta de rota responde a uma pergunta mais estreita: que interface este telefone usaria para um destino. É a verificação a repetir após qualquer alteração, porque um perfil pode existir e ainda assim não ser o caminho que uma dada aplicação toma.

Leia um fluxo de trabalho de princípio a fim

Escolha a tarefa real, como chegar a uma base de dados privada com um cliente de ambiente de trabalho. Depois siga o fluxo: a aplicação arranca no contentor, resolve o nome de anfitrião pelo resolvedor que o telefone usar, abre um socket, e o encaminhamento do telefone decide que interface o leva. Cada passo tem um dono. O contentor possui a aplicação, a plataforma possui o resolvedor e o encaminhamento, e o ponto final da VPN possui a autenticação. Uma falha em qualquer passo é uma falha desse passo, não de toda a ideia.

Teste o nome de anfitrião privado e o endereço privado em separado. Um nome que resolve para um endereço público e um endereço que é encaminhado para um túnel são observações diferentes, e confundi-las produz um relatório que não se pode reproduzir.

O que registar quando a resposta é não

Por vezes a conclusão honesta é que este telefone, nesta versão, não consegue suportar o fluxo de trabalho. Escreva isso com as provas: que tipos de ligação a plataforma oferece, que clientes foram tentados e em que passo se falhou.

Depois indique a alternativa aceite, seja outro dispositivo, outro método de acesso ou uma tarefa mais estreita que fica dentro do contentor sem tocar em redes privadas.

Resista à tentação de remontar o sistema base ou de conceder privilégios sem explicação para reproduzir uma receita antiga. Um telefone que arranca não é o mesmo que um telefone sobre cuja política de rede ainda pode raciocinar seis meses depois.