Sekundárne pripojenie VPN patrí jednému profilu Wi-Fi, nie všetkým

Nastavte VPN ako sekundárne pripojenie domáceho Wi-Fi a všetko funguje, až kým sa notebook nepripojí k inému prístupovému bodu a tunel nezostane dole. Nové pripojenie je samostatný konfiguračný objekt s vlastným UUID a nemá dôvod vedieť o väzbe, ktorú ste vytvorili pre jeho predchodcu. Nič sa nepokazilo; spojenie jednoducho nikdy neexistovalo.

Referenčná príručka pripojení NetworkManageru definuje sekundárne ako UUID, ktoré sa aktivujú spolu s určitým základným pripojením. Uvádza tiež, že bežné profily VPN neimplementujú automatickú aktiváciu tak ako základné pripojenia. Obe tvrdenia vedú k rovnakému záveru: spojenie je pre každý profil a niekto ho musí vytvoriť pre každý nový.

Čo sekundárne pripojenie vlastne je

Základné pripojenie má identitu, UUID a zoznam sekundárnych. Keď sa aktivuje, správca aktivuje aj tieto sekundárne v poradí, a tak VPN nasleduje sieť Wi-Fi bez ručného kliknutia. Vzťah žije na základnom pripojení a je zapísaný ako reťazce UUID, nie ako názvy. Táto voľba reprezentácie nie je náhodná; práve ona umožňuje, aby spojenie prežilo premenovanie.

Tento detail s názvami je dôležitejší, než sa zdá. Premenovanie profilu VPN necháva jeho UUID nedotknuté, takže existujúce spojenia fungujú ďalej. Odstránenie starého profilu a import nového vytvorí nové UUID a každé spojenie, ktoré ukazovalo na staré, teraz neukazuje na nič.

Prezrite si existujúci zoznam pred pridaním. Domáci profil s jedným sekundárnym nie je pravidlo, ktoré sedí na každé SSID; je to jeden riadok v jednom objekte a nebude sa konzultovať, keď sa aktivuje iná základňa.

Umiestnite spojenie tam, kde sa profily vytvárajú

Na osobnom stroji urobte z pripojenia zamýšľaného sekundárneho súčasť pridávania každého povoleného profilu Wi-Fi. Je to zvyk, nie funkcia, ale zvyk, ktorý vytvára konzistentný stav, a stojí jeden príkaz alebo dve návštevy dialógu na každú sieť. Veďte si krátku poznámku o tom, ktoré siete majú niesť tunel, pretože zoznam je politika.

Na spravovaných zariadeniach nech proces zriaďovania vytvára záznam Wi-Fi aj jeho spojenie s VPN v jednom kroku a rovnako postupujte pri povolených profiloch, ktoré už existujú. Distribúcia profilu VPN samotného necháva základné vzťahy neurčené, a tak flotila skončí s tunelom, ktorý používa len polovica notebookov.

Tam, kde používatelia ešte môžu vytvárať profily mimo spravovanej cesty, výslovne rozhodnite, čo sa s týmito záznamami stane. Predpoklad, že zdedia spojenie, nie je politika; je to nádej s nákladmi na podporu.

Naplánujte zmenu identity VPN

Zdroj zriaďovania potrebuje UUID zamýšľanej VPN, nie zobrazovaný názov, ktorý niekto uhádol. Keď údržba nahradí túto VPN čerstvo importovaným objektom, aktualizujte šablónu zriaďovania aj dotknuté existujúce spojenia v tej istej zmene. Premenovanie nie je nahradenie a zaobchádzanie s oboma ako s ekvivalentnými je spôsob, akým funkčné zavádzanie o týždeň zlyhá.

Uložte UUID vedľa dôvodu, prečo existuje. Budúci inžinier, ktorý nájde holé UUID v zozname sekundárnych, nemá ako zistiť, či je aktuálne, a pravdepodobne ho pri upratovaní vymaže.

Aktivácia nie je vynútenie

Žiadosť o sekundárne prebieha v čase aktivácie. Neblokuje aplikácie v intervale pred dokončením autentifikácie a nezastavuje prevádzku po zlyhaní tunela. To sú rôzne vlastnosti zabezpečované rôznymi mechanizmami a ich zlievanie vytvára návrh, ktorý vyzerá striktne v profile a v praxi je zhovievavý.

Blokovanie priamej prevádzky je samostatná funkcia s vlastnou konfiguráciou a vlastnými režimami zlyhania a musí počítať s prevádzkou, ktorá sa musí dostať do siete, než môže existovať akýkoľvek tunel: captive portály, prihlasovacie stránky, samotný koncový bod. Zásada blokovania, ktorú nemožno splniť pred autentifikáciou, uzamkne stroj mimo práve tej siete, ktorú potrebuje.

Dajte tento rozdiel do pokynov, ktoré používatelia skutočne čítajú. Nová sieť Wi-Fi môže požiadať o tunel; vynútenie rozhoduje, či môže niečo odísť, keď sa nedá pripojiť. Používatelia, ktorým sa povie len prvá polovica, nahlásia návrh ako pokazený.

Testujte so skutočne novým profilom

Použite schválenú testovaciu sieť a novo vytvorený základný profil, nie domáci záznam, ktorý už funguje. Sledujte aktiváciu základne, požadované UUID sekundárneho a akúkoľvek výzvu na autentifikáciu v poradí a poznamenajte, ktorá fáza sa zasekne, keď sa zasekne. Tajný agent, ktorý je dostupný po prihlásení na plochu, nie je automaticky prítomný v každom kontexte spustenia, takže reštart patrí do testovacieho plánu. Potom skontrolujte zamýšľaný prostriedok a cestu zlyhania: nastúpi tunel skôr, než ho aplikácia potrebuje, a čo sa stane s touto aplikáciou, keď autentifikácia zlyhá?

Potom skontrolujte zamýšľaný prostriedok a cestu zlyhania: nastúpi tunel skôr, než ho aplikácia potrebuje, a čo sa stane s touto aplikáciou, keď sa tunel nedokáže autentifikovať? Tieto dve pozorovania sú kritériá prijatia a ani jedno z nich nie je viditeľné v samotnom profile.