Oferă Libertine pentru Ubuntu Touch un VPN pentru tot telefonul?

Pe Ubuntu Touch două întrebări sunt puse ca una singură: va rula acest pachet de desktop și va primi telefonul un VPN. Containerul răspunde la prima. Nimic din el nu răspunde la a doua, pentru că un container are propria viziune asupra sistemului de fișiere, în timp ce stiva de rețea și politica ei aparțin telefonului. Urmăriți unde locuiește fiecare piesă înainte de a promite un flux de lucru.

Două întrebări care par una

Rularea unei aplicații de desktop într-un container este o realizare de ambalare. Să faci managerul de conexiuni al telefonului să stabilească un tunel, să îl mențină peste suspendare și să decidă ce se întâmplă când cade este muncă de platformă. Un instalator care se termină în container dovedește doar că dependențele au fost rezolvate acolo. Nu spune nimic despre dacă telefonul are un plugin VPN aprobat, dacă tunelul supraviețuiește unei reporniri sau ce aplicații îl folosesc.

Țineți cele două în propoziții separate în orice evaluare. Topirea lor este modul în care o demonstrație de laborator devine un angajament de suport pe care nimeni nu îl poate onora.

Ce oferă de fapt granița containerului

Un container Libertine este un mediu care se poate scrie, suprapus peste un telefon al cărui sistem de bază este doar pentru citire. De aceea instalarea unui pachet acolo funcționează deloc, și de aceea aceeași instalare pe sistemul de bază nu funcționează. De asemenea, rulează aplicații în prim-plan, integrate cu ecranul telefonului, și în mod explicit nu este o cale de a rula software de server sau de a ține un proces viu în fundal. Aceste constrângeri contează pentru un client VPN, despre care se așteaptă să rămână pornit.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Listarea arată ce containere există, iar comanda info raportează distribuția și starea instalării. Comanda launch vă oferă un shell în interior, iar acesta este locul potrivit pentru a inspecta ce a instalat de fapt pachetul. Ce nu vă oferă este autoritate asupra rețelei telefonului. Un binar din container care vrea să creeze un tunel are nevoie de o interfață privilegiată, iar acea interfață aparține platformei, nu containerului.

Unde locuiește starea de rețea a telefonului

Numele, rutele și profilurile de conexiune sunt gestionate de serviciul de rețea al telefonului, în afara oricărui container. O intrare de tunel apare acolo doar când platforma acceptă acel tip de VPN și operatorul a instalat pluginul corespunzător.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Lista conexiunilor este răspunsul autorizat la întrebarea dacă există un profil VPN pe acest telefon. Dacă tunelul dvs. lipsește din acea listă, nicio cantitate de muncă din container nu îl va face să apară. Căutarea rutei răspunde la o întrebare mai îngustă: ce interfață ar folosi acest telefon pentru o destinație. Aceasta este verificarea de repetat după orice schimbare, pentru că un profil poate exista și totuși să nu fie calea pe care merge o anumită aplicație.

Citiți un flux de lucru de la un capăt la altul

Alegeți sarcina reală, de exemplu să ajungeți la o bază de date privată cu un client de desktop. Apoi urmăriți fluxul: aplicația pornește în container, rezolvă numele de gazdă prin orice resolver folosește telefonul, deschide un socket, iar rutarea telefonului decide ce interfață îl duce. Fiecare pas are un proprietar. Containerul deține aplicația, platforma deține resolverul și rutarea, iar punctul final VPN deține autentificarea. Un eșec la orice pas este un eșec al acelui pas, nu al întregii idei.

Testați separat numele de gazdă privat și adresa privată. Un nume care se rezolvă la o adresă publică și o adresă care este rutată într-un tunel sunt observații diferite, iar confundarea lor produce un raport care nu poate fi reprodus.

Ce să notați când răspunsul este nu

Uneori concluzia onestă este că acest telefon, pe această versiune, nu poate duce fluxul de lucru. Scrieți asta cu dovezile: ce tipuri de conexiune oferă platforma, ce clienți au fost încercați și la ce pas a eșuat.

Apoi indicați alternativa acceptată, fie că este un alt dispozitiv, o altă metodă de acces sau o sarcină mai îngustă care rămâne în container fără a atinge rețele private.

Rezistați tentației de a remonta sistemul de bază sau de a acorda privilegii neexplicate pentru a reproduce o rețetă veche. Un telefon care pornește nu este același lucru cu un telefon despre a cărui politică de rețea puteți încă raționa șase luni mai târziu.