ConnMan VPN: chýbajúca ponuka je démon, nie protokol

Rozšírená predstava je, že systém s ConnManom bez položky VPN na ploche nemá nainštalovanú podporu VPN. Zvyčajne má podporu pre Wi-Fi a žiadnu pre démona VPN, konfiguráciu poskytovateľa alebo autentifikačného agenta, a to sú tri samostatné neprítomnosti. Ponuka je pohľad na tieto komponenty, nie funkcia samotná. Kontrola verzie a balenia vám jediným príkazom povie viac než akýkoľvek počet hlásení chýb z plochy.

Mýtus: ponuka je funkcia VPN

Začnite nainštalovanou verziou ConnManu a balíkmi, ktoré s ňou prišli. Hlásenie chyby zo staršieho vydania opisuje inú sadu funkcií a jeho citovanie zvyčajne skončí tým, že niekto preinštaluje správcu siete, ktorý sa meniť nemusel.

Než čokoľvek zmeníte, zapíšte si, čo skutočne máte: binárka démona, adresár poskytovateľov a či je prítomný agent.

Ktorý démon vlastní tunel

V dokumentácii ConnManu 1.41 pre Debian bookworm je connman-vpnd démon, ktorý spravuje pripojenia VPN popri connmand. Vypisuje integrácie pre pomenovaných pomocníkov VPN, vrátane OpenVPN a OpenConnect. Ten zoznam je tvrdenie o pomocníkoch, nie sľub, že bude fungovať každý protokol alebo autentifikačný postup. Čítajte ho ako zoznam toho, čo overiť, nie ako záruku kompatibility.

Potom priraďte integráciu k schválenému protokolu brány. Slovo Cisco vám nepovie, či potrebujete pripojenie v starom štýle vpnc alebo postup kompatibilný s AnyConnect, a nesprávna voľba vedie k zlyhaniu autentifikácie, ktoré vyzerá ako problém s prihlasovacími údajmi.

Ak tunel dokáže zdvihnúť samostatný pomocník aj ConnMan, rozhodnite, kto vlastní trasy, DNS a životný cyklus, skôr než ktokoľvek z nich začne.

Nastavenia démona nie sú nastavenia poskytovateľa

Všeobecná konfigurácia démona a konfigurácia jednotlivého poskytovateľa sú rôzne súbory v rôznych formátoch. V dokumentovanom usporiadaní bookworm démon číta /etc/connman/connman-vpn.conf, zatiaľ čo súbory na zriaďovanie poskytovateľov ležia v /var/lib/connman-vpn/ s príponou .config. Vloženie profilu OpenVPN do toho adresára z neho nerobí súbor na zriaďovanie v ConnMane. Ten manuál poskytovateľa pre túto verziu opisuje sekcie poskytovateľa a polia špecifické pre typ, ktoré tieto súbory skutočne potrebujú.

Prekladajte len cez podporované mapovanie nainštalovanej integrácie. Dôvera v certifikát, odkazy na súkromný kľúč, identita brány, trasy a autentifikačné vstupy si každý drží svoju rolu a vzorka pre iný typ poskytovateľa nie je zameniteľná len preto, že obe potrebujú adresu servera.

Keď sa poskytovateľ nenačíta, porovnajte jeho polia s manuálom pre nainštalované vydanie, nie s príkladom z blogu.

Autentifikačný agent je samostatná závislosť

Definícia poskytovateľa môže napriek tomu potrebovať agenta na získanie prihlasovacích údajov alebo dokončenie autentifikačnej výmeny. Pre svoju integráciu s OpenConnect ten istý manuál vysvetľuje, že chýbajúce hodnoty súvisiace s autentifikáciou možno vyžiadať cez VPN Agent API a že krátkodobá cookie všeobecne nie je vhodná ako trvalé konfiguračné tajomstvo. Ten mechanizmus nezaručuje podporu každého prihlásenia v prehliadači, výzvy MFA alebo kontroly stavu brány. Celý postup potvrďte s tým, kto nasadenie vlastní.

Nekompenzujte chýbajúceho agenta tým, že heslo alebo token relácie zapíšete do široko čitateľného súboru. Premení to chýbajúcu integráciu na únik prihlasovacích údajov a druhý problém prežije prvý.

Ak brána vyžaduje interaktívne prihlásenie, agent je súčasťou návrhu, nie voliteľným doplnkom.

Overte štyri výsledky, nie jeden

Po autorizovanom zriadení skontrolujte štyri veci oddelene: poskytovateľ je vybraný, pripojenie je autentifikované, efektívne trasy sú tie, ktoré ste zamýšľali, a prekladač sa správa podľa očakávania. Bežiaci démon, uvedený poskytovateľ a aplikácia dosahujúca na svoj zdroj sú tri rôzne výsledky a len ten posledný je skutočný cieľ používateľa. Keď ich zaznamenáte oddelene, povie vám to, ktorú fázu opraviť.

Zahrňte do tej kontroly správanie pri opätovnom pripojení a požadovanú politiku stavu nedostupnosti, pretože tunel, ktorý sa raz zdvihne a nikdy sa neobnoví, nie je nasadený. Ponechajte fungujúcu konfiguráciu základnej siete obnoviteľnou, kým integráciu VPN meníte.

Nahradiť správcu Wi-Fi len kvôli tlačidlu je oveľa väčšia zmena, než akú si vyžadovala chýbajúca operácia, a zvyčajne to je víťazstvo mýtu.