Aplikácia VPN od dodávateľa verzus NetworkManager: komu patrí stav?
Profil pomenúva plugin, nie správanie klienta dodávateľa. Zmapujte, kto vlastní registráciu, DNS, blokovanie a aktualizácie, skôr než prepnete spravovaný notebook.
Import profilu nie je to isté ako nahradenie klienta. NetworkManager ukladá typ pluginu spolu s údajmi a tajomstvami špecifickými pre plugin a plugin, ktorému tento typ patrí, rozhoduje o tom, čo môže spojenie robiť. Všetko, čo aplikácia dodávateľa vrství navrch, od registrácie po trvalé blokovanie, žije mimo súboru. Či je prepnutie bezpečné, závisí od toho, na ktoré z týchto vrstiev sa skutočne spoliehate.
Súbor pomenúva plugin, nie množinu funkcií
Referenčná príručka nastavení VPN v NetworkManageri opisuje typ služby, ktorý vyberá plugin, plus nepriehľadný slovník údajov a slovník tajomstiev, ktoré interpretuje len plugin. Profil je zmluva s jednou implementáciou, nie opis správania, ktoré dokáže reprodukovať akýkoľvek klient. Dvaja klienti môžu hovoriť rovnakým protokolom a predsa sa líšiť v tom, o čom vyjednávajú a ktoré dátové cesty zapínajú. Označenie protokolu vám povie, čo je tunel, nikdy nie to, čo s ním robí okolitý klient.
Preto porovnávajte požiadavky, nie obaly. Otázka nie je, či sa alternatíva dokáže pripojiť, pretože zvyčajne dokáže; ide o to, či každá požiadavka, ktorá robila pôvodného klienta prijateľným, prežije presun. Zapíšte tie požiadavky, skôr než čokoľvek nainštalujete, inak sa porovnanie zmení na hon na to, čo praskne prvé.
Čo aplikácia dodávateľa pridáva okolo tunela
Klientské aplikácie dodávateľov zvyčajne spájajú registráciu a kontroly stavu zariadenia, tok druhého faktora s vlastným rozhraním, trvalé blokovanie, aktualizačný kanál a nástroje podpory. Časť toho stojí vedľa protokolu a časť je samostatný produkt, ktorý len zdieľa inštalátor. NetworkManager dokáže nahradiť tunel a jeho smerovanie a skripty dispečera môžu pri zmene stavu spojenia spustiť akcie. Nereprodukuje však blokovací engine, proces obnovy certifikátu ani predpoklad o tom, ktorý používateľ smie spojenie nadviazať.
Viac komponentov neznamená bezpečnejšie a menej neznamená slabšie. Otázka je, ktorý komponent presadzuje politiku, ktorú ste mali dodržiavať. Keď sa audítor spýta, čo blokuje prevádzku, keď tunel spadne, odpoveď musí pomenovať niečo, čo to naozaj robí, a profil, ktorý sa len pripája, takou odpoveďou nie je.
Kde sa vlastníctvo skutočne líši
Čítajte to ako mapu vlastníctva, nie ako kontrolný zoznam, pretože zlyhania nižšie sú medzery vo vlastníctve a žiadna konfigurácia klienta ich neuzatvorí. Každý riadok pomenúva vrstvu, stranu, ktorá ju dnes zvyčajne drží, a miesto, kde sa medzera prejaví ako prvá.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Každý riadok spojte s pozorovaním, ktoré môžete zopakovať, nie s pocitom z klienta. Názov vyriešený zamýšľaným resolverom, cesta, ktorá zmizne, keď sa tunel zastaví, a zablokované spojenie po simulovanom výpadku sú tri pozorovania, ktoré spolu pokrývajú väčšinu tabuľky. Napíšte pozorovanie vedľa požiadavky, ktorú dokazuje, a tie neúspešné si ponechajte, pretože neúspešné pozorovanie je jediná časť záznamu, ktorá predpovedá ďalší incident.
Prepnutie bez prekrývania vlastníctva
Súčasné spustenie klientskej aplikácie dodávateľa a spojenia NetworkManager pre tú istú službu je najčastejší spôsob, akým tieto porovnania zlyhajú. Obe inštalujú trasy, obe môžu nastaviť DNS a obe môžu zasiahnuť do stavu firewallu. To, čo potom meriate, je tretie usporiadanie, ktoré nezodpovedá dokumentovanému správaniu ani jedného z dvoch klientov.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Prvý príkaz hovorí, či je profil vôbec typu VPN. Druhý ukazuje typ služby pluginu a ktoré tajomstvá sú uložené, čo je dôležité, keď sa kľúč očakáva od agenta namiesto zo súboru. V žurnále plugin, ktorý sa načítal, ale nedokázal vyjednať, povie, že je to tak. Ak žiadny z troch neukáže problém, medzera je vo vrstvách politiky nad tunelom, nie v spojení.
Pred zapnutím nového spojenia odpojte starého klienta, ponechajte koncové body a účet rovnaké a zapíšte, ktorý komponent vlastní trasy, nastavenia resolvera a blokovanie. Práve tá poznámka bráni tomu, aby sa ďalšia aktualizácia skončila s dvoma vlastníkmi.