Dobavljačka VPN aplikacija nasuprot NetworkManageru: kome pripada stanje?
Profil imenuje dodatak, a ne ponašanje dobavljačkog klijenta. Mapirajte kome pripadaju registracija, DNS, blokiranje i ažuriranja pre nego što prebacite upravljani laptop.
Uvoz profila nije isto što i zamena klijenta. NetworkManager čuva tip dodatka zajedno sa podacima i tajnama specifičnim za dodatak, a dodatak koji poseduje taj tip odlučuje šta veza može da radi. Sve što aplikacija dobavljača slaže povrh toga, od registracije do trajnog blokiranja, živi izvan datoteke. Da li je prebacivanje bezbedno zavisi od toga na koje se od tih slojeva zaista oslanjate.
Datoteka imenuje dodatak, a ne skup funkcija
Referenca VPN podešavanja NetworkManagera opisuje tip usluge koji bira dodatak, plus neproziran rečnik podataka i rečnik tajni koje tumači samo dodatak. Profil je ugovor sa jednom implementacijom, a ne opis ponašanja koje bilo koji klijent može da reprodukuje. Dva klijenta mogu da govore isti protokol i ipak se razlikuju u tome šta pregovaraju i koje putanje podataka omogućavaju. Oznaka protokola vam govori šta je tunel, nikada šta okolni klijent radi sa njim.
Zato upoređujte zahteve, a ne omotače. Pitanje nije može li alternativa da uspostavi vezu, jer obično može; pitanje je preživljava li preseljenje svaki zahtev koji je izvornog klijenta činio prihvatljivim. Zapišite te zahteve pre nego što bilo šta instalirate, inače se poređenje pretvara u potragu za onim što prvo pukne.
Šta aplikacija dobavljača dodaje oko tunela
Klijenti dobavljača obično objedinjuju registraciju i provere stanja uređaja, tok drugog faktora sa sopstvenim sučeljem, trajno blokiranje, kanal za ažuriranja i alate za podršku. Deo toga stoji uz protokol, a deo je zaseban proizvod koji samo deli instalater. NetworkManager može da zameni tunel i njegovo rutiranje, a skripte dispečera mogu da pokrenu radnje kada se stanje veze promeni. On ne reprodukuje mašinu za blokiranje, proces obnove sertifikata ni pretpostavku o tome koji korisnik sme da podigne vezu.
Više komponenti ne znači bezbednije, a manje ne znači slabije. Pitanje je koja komponenta sprovodi politiku koju su vam rekli da sledite. Ako revizor pita šta blokira saobraćaj kada tunel padne, odgovor mora da imenuje nešto što to zaista čini, a profil koji se samo povezuje nije taj odgovor.
Gde se vlasništvo zaista razlikuje
Čitajte ovo kao mapu vlasništva, a ne kao kontrolnu listu, jer su kvarovi ispod praznine u vlasništvu i nijedna količina konfiguracije klijenta ih ne zatvara. Svaki red imenuje sloj, stranu koja ga danas obično drži i mesto gde se praznina prvo pokaže.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Uparite svaki red sa opažanjem koje možete da ponovite, a ne sa osećajem o klijentu. Ime razrešeno kroz predviđeni rezolver, ruta koja nestane kada tunel stane i blokirana veza nakon simuliranog prekida tri su opažanja koja zajedno pokrivaju većinu tabele. Zapišite opažanje uz zahtev koji dokazuje i zadržite ona koja nisu uspela, jer neuspelo opažanje je jedini deo zapisa koji predviđa sledeći incident.
Prebacivanje bez preklapanja vlasništva
Istovremeno pokretanje dobavljačkog klijenta i NetworkManager veze za istu uslugu najčešći je način da ova poređenja pođu po zlu. Oba instaliraju rute, oba mogu da postave DNS i oba mogu da diraju stanje vatrozida. Ono što tada merite treći je raspored koji ne odgovara dokumentovanom ponašanju nijednog od dva klijenta.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Prva komanda govori da li je profil uopšte tip VPN. Druga prikazuje tip usluge dodatka i koje su tajne pohranjene, što je važno kada se ključ očekuje od agenta umesto iz datoteke. Dnevnik je mesto gde će dodatak koji se učitao ali nije uspeo da pregovara to reći. Ako nijedna od tri ne pokaže problem, praznina je u slojevima politike iznad tunela, a ne u vezi.
Isključite stari klijent pre uključivanja nove veze, održite krajnje tačke i nalog identičnim i zapišite koja komponenta poseduje rute, podešavanja rezolvera i blokiranje. Ta beleška je ono što sprečava da se sledeće ažuriranje završi sa dva vlasnika.