Aplikacioni VPN i furnizuesit kundrejt NetworkManager: kush e zotëron gjendjen?
Një profil emërton një shtojcë, jo sjelljen e klientit të furnizuesit. Hartoni kush zotëron regjistrimin, DNS-në, bllokimin dhe përditësimet përpara se të ndërroni një laptop të menaxhuar.
Importimi i një profili nuk është e njëjta gjë me zëvendësimin e një klienti. NetworkManager ruan një lloj shtojce bashkë me të dhëna dhe sekrete specifike për shtojcën, dhe shtojca që zotëron atë lloj vendos çfarë mund të bëjë lidhja. Gjithçka që aplikacioni i furnizuesit shtreson sipër, nga regjistrimi deri te bllokimi i përhershëm, jeton jashtë skedarit. Nëse ndërrimi është i sigurt varet nga ato shtresa në të cilat mbështeteni vërtet.
Skedari emërton një shtojcë, jo një grup funksionesh
Referenca e cilësimeve të VPN në NetworkManager përshkruan një lloj shërbimi që zgjedh shtojcën, plus një fjalor të dhënash të errët dhe një fjalor sekretesh që i interpreton vetëm shtojca. Profili është një kontratë me një implementim, jo përshkrimi i një sjelljeje që çdo klient mund ta riprodhojë. Dy klientë mund të flasin të njëjtin protokoll dhe gjithsesi të ndryshojnë në atë që negociojnë dhe në rrugët e të dhënave që aktivizojnë. Etiketa e një protokolli ju thotë çfarë është tuneli, kurrë çfarë bën klienti përreth me të.
Prandaj krahasoni kërkesa, jo mbështjellës. Pyetja nuk është nëse alternativa mund të lidhet, sepse zakonisht mundet; është nëse çdo kërkesë që e bënte klientin origjinal të pranueshëm i mbijeton zhvendosjes. Shkruani ato kërkesa përpara se të instaloni çdo gjë, përndryshe krahasimi kthehet në një gjueti pas asaj që thyhet e para.
Çfarë shton aplikacioni i furnizuesit rreth tunelit
Klientët e furnizuesve zakonisht grumbullojnë regjistrimin dhe kontrollet e qëndrimit të pajisjes, një rrjedhë të faktorit të dytë me ndërfaqen e vet, bllokimin e përhershëm, një kanal përditësimi dhe mjete mbështetjeje. Një pjesë e kësaj qëndron pranë protokollit, dhe një pjesë është një produkt i veçantë që thjesht ndan një instalues. NetworkManager mund të zëvendësojë tunelin dhe rrugëtimin e tij, dhe skriptet e dërguesit mund të nisin veprime kur gjendja e lidhjes ndryshon. Por ai nuk riprodhon një motor bllokimi, një rrjedhë rinovimi certifikatash apo një supozim se cili përdorues mund ta ngrejë lidhjen.
Më shumë komponentë nuk do të thotë më të sigurt, dhe më pak nuk do të thotë më të dobët. Pyetja është cili komponent zbaton politikën që ju është thënë të ndiqni. Nëse një auditor pyet se çfarë bllokon trafikun kur tuneli bie, përgjigja duhet të emërtojë diçka që e bën vërtet këtë, dhe një profil që thjesht lidhet nuk është ajo përgjigje.
Ku pronësia ndryshon vërtet
Lexojeni këtë si një hartë pronësie dhe jo si një listë kontrolli, sepse dështimet më poshtë janë boshllëqe pronësie dhe asnjë sasi konfigurimi klienti nuk i mbyll ato. Çdo rresht emërton shtresën, anën që zakonisht e mban sot, dhe vendin ku boshllëku shfaqet i pari.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Lidhni çdo rresht me një vëzhgim që mund ta përsërisni, jo me një ndjenjë për klientin. Një emër i zgjidhur përmes zgjidhësit të synuar, një rrugë që zhduket kur ndalon tuneli, dhe një lidhje e bllokuar pas një ndërprerjeje të simuluar janë tre vëzhgime që së bashku mbulojnë pjesën më të madhe të tabelës. Shkruani vëzhgimin pranë kërkesës që vërteton, dhe mbani ato që dështuan, sepse një vëzhgim i dështuar është e vetmja pjesë e regjistrit që parashikon incidentin e radhës.
Ndërrim pa mbivendosje të pronësisë
Të drejtosh klientin e furnizuesit dhe një lidhje NetworkManager për të njëjtin shërbim njëkohësisht është mënyra më e zakonshme se si këto krahasime shkojnë keq. Të dy instalojnë rrugë, të dy mund të vendosin DNS, dhe të dy mund të prekin gjendjen e murit të zjarrit. Ajo që matni atëherë është një rregullim i tretë që nuk përputhet me sjelljen e dokumentuar të asnjërit prej dy klientëve.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Komanda e parë ju thotë nëse profili është fare lloj VPN. E dyta tregon llojin e shërbimit të shtojcës dhe cilat sekrete janë ruajtur, gjë që ka rëndësi kur një çelës pritet nga një agjent në vend të skedarit. Regjistri është vendi ku një shtojcë që u ngarkua por nuk arriti të negociojë do ta thotë. Nëse asnjë nga të tre nuk tregon një problem, boshllëku ndodhet në shtresat e politikës mbi tunel dhe jo në lidhje.
Shkëputni klientin e vjetër përpara se të aktivizoni lidhjen e re, mbani pikat fundore dhe llogarinë identike, dhe shkruani cili komponent zotëron rrugët, cilësimet e zgjidhësit dhe bllokimin. Ajo shënim është ajo që pengon përditësimin e radhës të përfundojë me dy pronarë.