Aplikacija VPN ponudnika proti NetworkManagerju: kdo ima v lasti stanje?
Profil poimenuje vtičnik, ne vedenja odjemalca ponudnika. Zarišite, kdo ima v lasti registracijo, DNS, blokiranje in posodobitve, preden preklopite upravljani prenosnik.
Uvažanje profila ni isto kot zamenjava odjemalca. NetworkManager shranjuje vrsto vtičnika skupaj s podatki in skrivnostmi, specifičnimi za vtičnik, in vtičnik, ki ima to vrsto v lasti, odloča, kaj lahko povezava počne. Vse, kar aplikacija ponudnika nalaga povrhu, od registracije do trajnega blokiranja, živi zunaj datoteke. Ali je preklop varen, je odvisno od tega, na katere od teh plasti se res zanašate.
Datoteka poimenuje vtičnik, ne nabora funkcij
Referenca nastavitev VPN v NetworkManagerju opisuje vrsto storitve, ki izbere vtičnik, poleg tega pa neprozoren slovar podatkov in slovar skrivnosti, ki jih razlaga samo vtičnik. Profil je pogodba z eno izvedbo, ne opis vedenja, ki ga lahko poustvari kateri koli odjemalec. Dva odjemalca lahko govorita isti protokol in se še vedno razlikujeta v tem, o čem se pogajata in katere podatkovne poti omogočata. Oznaka protokola vam pove, kaj je tunel, nikoli pa, kaj z njim počne okoliški odjemalec.
Zato primerjajte zahteve, ne ovojev. Vprašanje ni, ali se alternativa lahko poveže, ker se običajno lahko; vprašanje je, ali vsaka zahteva, ki je prvotnega odjemalca naredila sprejemljivega, preživi selitev. Te zahteve zapišite, preden karkoli namestite, sicer se primerjava spremeni v lov za tem, kar se prvo zlomi.
Kaj aplikacija ponudnika doda okoli tunela
Odjemalci ponudnikov običajno združujejo registracijo in preglede stanja naprave, tok drugega dejavnika z lastnim vmesnikom, trajno blokiranje, kanal za posodobitve in orodja za podporo. Del tega stoji ob protokolu, del pa je ločen izdelek, ki si le deli namestitveni program. NetworkManager lahko zamenja tunel in njegovo usmerjanje, dispečerske skripte pa lahko sprožijo dejanja, ko se stanje povezave spremeni. Ne poustvari pa pogona za blokiranje, postopka obnove potrdila ali predpostavke o tem, kateri uporabnik sme dvigniti povezavo.
Več komponent ne pomeni varneje, manj pa ne pomeni šibkeje. Vprašanje je, katera komponenta uveljavlja politiko, ki so vam ji rekli slediti. Če revizor vpraša, kaj blokira promet, ko tunel pade, mora odgovor poimenovati nekaj, kar to res počne, in profil, ki se samo povezuje, ni ta odgovor.
Kje se lastništvo res razlikuje
Berite to kot zemljevid lastništva, ne kot kontrolni seznam, ker so napake spodaj vrzeli v lastništvu in nobena količina konfiguracije odjemalca jih ne zapre. Vsaka vrstica poimenuje plast, stran, ki jo danes običajno drži, in mesto, kjer se vrzel pokaže prva.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Vsako vrstico povežite z opažanjem, ki ga lahko ponovite, ne z občutkom o odjemalcu. Ime, razrešeno prek predvidenega razreševalnika, pot, ki izgine, ko se tunel ustavi, in blokirana povezava po simulirani prekinitvi so tri opažanja, ki skupaj pokrijejo večino tabele. Opažanje zapišite ob zahtevo, ki jo dokazuje, in obdržite neuspešna, ker je neuspešno opažanje edini del zapisa, ki napove naslednji incident.
Preklop brez prekrivajočega se lastništva
Hkratno izvajanje odjemalca ponudnika in povezave NetworkManager za isto storitev je najpogostejši način, da te primerjave gredo narobe. Oba nameščata poti, oba lahko nastavita DNS in oba se lahko dotakneta stanja požarnega zidu. Kar takrat merite, je tretja ureditev, ki ne ustreza dokumentiranemu vedenju nobenega od obeh odjemalcev.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Prvi ukaz pove, ali je profil sploh vrste VPN. Drugi pokaže vrsto storitve vtičnika in katere skrivnosti so shranjene, kar je pomembno, ko se ključ pričakuje od agenta namesto iz datoteke. Dnevnik je kraj, kjer bo vtičnik, ki se je naložil, a se ni mogel pogajati, to povedal. Če noben od treh ne pokaže težave, je vrzel v plasteh politike nad tunelom in ne v povezavi.
Odklopite starega odjemalca, preden omogočite novo povezavo, ohranite končne točke in račun enake ter zapišite, katera komponenta ima v lasti poti, nastavitve razreševalnika in blokiranje. Ta zapis je tisto, kar prepreči, da bi se naslednja posodobitev končala z dvema lastnikoma.