Dáva Libertine systému Ubuntu Touch VPN pre celý telefón?

V Ubuntu Touch sa dve otázky kladú ako jedna: pobeží tento balík pre pracovnú plochu a dostane telefón VPN. Kontajner odpovedá na prvú. Nič v ňom neodpovedá na druhú, pretože kontajner má vlastný pohľad na súborový systém, kým sieťový zásobník a jeho politika patria telefónu. Sledujte, kde žije každá časť, skôr než sľúbite pracovný postup.

Dve otázky, ktoré vyzerajú ako jedna

Spustiť aplikáciu pre pracovnú plochu v kontajneri je balíčkovací úspech. Prinútiť správcu pripojení telefónu, aby vytvoril tunel, udržal ho cez uspanie a rozhodol, čo sa stane pri výpadku, je práca platformy. Inštalátor, ktorý sa dokončí v kontajneri, dokazuje len to, že sa tam vyriešili závislosti. Nič nehovorí o tom, či má telefón schválený plugin VPN, či tunel prežije reštart ani ktoré aplikácie ho používajú.

V každom hodnotení držte obe v oddelených vetách. Ich zlievanie je spôsob, akým sa laboratórna ukážka stane záväzkom podpory, ktorý nikto nemôže splniť.

Čo hranica kontajnera skutočne poskytuje

Kontajner Libertine je zapisovateľné prostredie vrstvené nad telefónom, ktorého základný systém je iba na čítanie. Preto tam inštalácia balíka vôbec funguje a preto tá istá inštalácia v základnom systéme nefunguje. Tiež spúšťa aplikácie na popredí, integrované s displejom telefónu, a výslovne to nie je spôsob, ako prevádzkovať serverový softvér alebo udržať proces nažive na pozadí. Tieto obmedzenia sú dôležité pre klienta VPN, od ktorého sa očakáva, že zostane bežať.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Výpis ukazuje, ktoré kontajnery existujú, a príkaz info hlási distribúciu a stav inštalácie. Príkaz launch vám dá shell vnútri, a to je správne miesto na kontrolu toho, čo balík skutočne nainštaloval. Čo vám nedá, je právomoc nad sieťou telefónu. Binárka v kontajneri, ktorá chce vytvoriť tunel, potrebuje privilegované rozhranie, a toto rozhranie patrí platforme, nie kontajneru.

Kde žije sieťový stav telefónu

Názvy, trasy a profily pripojenia spravuje sieťová služba telefónu, mimo akéhokoľvek kontajnera. Záznam tunela sa tam objaví len vtedy, keď platforma podporuje daný typ VPN a operátor nainštaloval príslušný plugin.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Zoznam pripojení je autoritatívnou odpoveďou na otázku, či má tento telefón profil VPN. Ak váš tunel v tomto zozname chýba, žiadne úsilie v kontajneri ho tam nedostane. Vyhľadanie trasy odpovedá na užšiu otázku: ktoré rozhranie by tento telefón použil pre jeden cieľ. To je kontrola, ktorú treba po každej zmene zopakovať, pretože profil môže existovať a napriek tomu nemusí byť cestou, ktorou daná aplikácia ide.

Prečítajte si jeden pracovný postup od začiatku do konca

Vyberte skutočnú úlohu, napríklad prístup k súkromnej databáze s klientom pre pracovnú plochu. Potom sledujte tok: aplikácia štartuje v kontajneri, preloží meno hostiteľa cez akýkoľvek prekladač, ktorý telefón používa, otvorí socket a smerovanie telefónu rozhodne, ktoré rozhranie ho ponesie. Každý krok má vlastníka. Kontajner vlastní aplikáciu, platforma vlastní prekladač a smerovanie a koncový bod VPN vlastní overovanie. Zlyhanie v ktoromkoľvek kroku je zlyhaním toho kroku, nie celej myšlienky.

Testujte súkromné meno hostiteľa a súkromnú adresu oddelene. Meno, ktoré sa preloží na verejnú adresu, a adresa, ktorá sa smeruje do tunela, sú rôzne pozorovania a ich zámena vedie k správe, ktorú nemožno reprodukovať.

Čo zaznamenať, keď je odpoveď nie

Niekedy je čestným záverom, že tento telefón v tejto verzii pracovný postup neunesie. Zapíšte to s dôkazmi: aké typy pripojenia platforma ponúka, ktorí klienti boli vyskúšaní a v ktorom kroku to zlyhalo.

Potom uveďte prijatú alternatívu, či už je to iné zariadenie, iná metóda prístupu alebo užšia úloha, ktorá zostane v kontajneri bez toho, aby sa dotkla súkromných sietí.

Odolajte pokušeniu znova pripojiť základný systém alebo udeliť nevysvetlené oprávnenia, aby ste reprodukovali starý recept. Telefón, ktorý nabehne, nie je to isté ako telefón, o ktorého sieťovej politike môžete ešte o pol roka uvažovať.