VPN апликација добављача наспрам NetworkManager-а: коме припада стање?
Профил именује додатак, а не понашање клијента добављача. Мапирајте коме припадају регистрација, DNS, блокирање и ажурирања пре него што пребаците управљани лаптоп.
Увоз профила није исто што и замена клијента. NetworkManager чува тип додатка заједно са подацима и тајнама специфичним за додатак, а додатак који посједује тај тип одлучује шта веза може да ради. Све што апликација добављача слаже поврх тога, од регистрације до трајног блокирања, живи изван датотеке. Да ли је пребацивање безбједно зависи од тога на које се од тих слојева заиста ослањате.
Датотека именује додатак, а не скуп функција
Референца VPN подешавања NetworkManager-а описује тип услуге који бира додатак, плус непрозиран рјечник података и рјечник тајни које тумачи само додатак. Профил је уговор са једном имплементацијом, а не опис понашања које било који клијент може да репродукује. Два клијента могу да говоре исти протокол и ипак се разликују у томе шта преговарају и које путање података омогућавају. Ознака протокола вам говори шта је тунел, никада шта околни клијент ради са њим.
Зато упоређујте захтјеве, а не омотаче. Питање није може ли алтернатива да успостави везу, јер обично може; питање је преживљава ли пресељење сваки захтјев који је изворног клијента чинио прихватљивим. Запишите те захтјеве прије него што било шта инсталирате, иначе се поређење претвара у потрагу за оним што прво пукне.
Шта апликација добављача додаје око тунела
Клијенти добављача обично обједињују регистрацију и провјере стања уређаја, ток другог фактора са сопственим сучељем, трајно блокирање, канал за ажурирања и алате за подршку. Дио тога стоји уз протокол, а дио је засебан производ који само дијели инсталатер. NetworkManager може да замијени тунел и његово рутирање, а скрипте диспечера могу да покрену радње када се стање везе промијени. Он не репродукује машину за блокирање, процес обнове сертификата ни претпоставку о томе који корисник смије да подигне везу.
Више компоненти не значи безбједније, а мање не значи слабије. Питање је која компонента спроводи политику коју су вам рекли да слиједите. Ако ревизор пита шта блокира саобраћај када тунел падне, одговор мора да именује нешто што то заиста чини, а профил који се само повезује није тај одговор.
Гдје се власништво заиста разликује
Читајте ово као мапу власништва, а не као контролну листу, јер су кварови испод празнине у власништву и ниједна количина конфигурације клијента их не затвара. Сваки ред именује слој, страну која га данас обично држи и мјесто гдје се празнина прво покаже.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Упарите сваки ред са опажањем које можете да поновите, а не са осјећајем о клијенту. Име разријешено кроз предвиђени резолвер, рута која нестане када тунел стане и блокирана веза након симулираног прекида три су опажања која заједно покривају већину табеле. Запишите опажање уз захтјев који доказује и задржите она која нису успјела, јер неуспјело опажање је једини дио записа који предвиђа сљедећи инцидент.
Пребацивање без преклапања власништва
Истовремено покретање клијента добављача и NetworkManager везе за исту услугу најчешћи је начин да ова поређења пођу по злу. Оба инсталирају руте, оба могу да поставе DNS и оба могу да дирају стање ватрозида. Оно што тада мјерите трећи је распоред који не одговара документованом понашању ниједног од два клијента.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Прва команда говори да ли је профил уопште тип VPN. Друга приказује тип услуге додатка и које су тајне сачуване, што је важно када се кључ очекује од агента умјесто из датотеке. Дневник је мјесто гдје ће додатак који се учитао али није успио да преговара то рећи. Ако ниједна од три не покаже проблем, празнина је у слојевима политике изнад тунела, а не у вези.
Искључите стари клијент прије укључивања нове везе, одржите крајње тачке и налог идентичним и запишите која компонента посједује руте, подешавања резолвера и блокирање. Та биљешка је оно што спречава да се сљедеће ажурирање заврши са два власника.