Ger Libertine Ubuntu Touch ett VPN för hela telefonen?

På Ubuntu Touch ställs två frågor som en: kommer det här skrivbordspaketet att köra, och får telefonen ett VPN. Containern svarar på den första. Ingenting i den svarar på den andra, för en container har sin egen syn på filsystemet, medan nätverksstacken och dess policy tillhör telefonen. Följ var varje del bor innan du lovar ett arbetsflöde.

Två frågor som ser ut som en

Att köra ett skrivbordsprogram i en container är en paketeringsbedrift. Att få telefonens anslutningshanterare att upprätta en tunnel, hålla den genom vila och avgöra vad som händer när den faller är plattformsarbete. Ett installationsprogram som slutförs inne i containern bevisar bara att beroendena löstes där. Det säger ingenting om telefonen har ett godkänt VPN-tillägg, om tunneln överlever en omstart eller vilka program som använder den.

Håll de två i separata meningar i varje bedömning. Att slå ihop dem är hur en laboratoriedemo blir ett supportåtagande som ingen kan infria.

Vad containergränsen faktiskt ger

En Libertine-container är en skrivbar miljö lagd över en telefon vars bassystem är skrivskyddat. Därför fungerar det över huvud taget att installera ett paket där, och därför fungerar inte samma installation på bassystemet. Den kör också program i förgrunden, integrerade med telefonens skärm, och den är uttryckligen inte ett sätt att köra serverprogramvara eller hålla en process vid liv i bakgrunden. De begränsningarna spelar roll för en VPN-klient, som förväntas förbli uppe.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Listningen visar vilka containrar som finns, och kommandot info rapporterar distribution och installationsstatus. Kommandot launch ger dig ett skal inuti, och det är rätt plats att undersöka vad paketet faktiskt installerade. Det den inte ger dig är myndighet över telefonens nätverk. Ett binärprogram inne i containern som vill skapa en tunnel behöver ett privilegierat gränssnitt, och det gränssnittet tillhör plattformen, inte containern.

Var telefonens nätverkstillstånd bor

Namn, rutter och anslutningsprofiler hanteras av telefonens nätverkstjänst, utanför varje container. En tunnelpost visas där bara när plattformen stöder den VPN-typen och operatören har installerat motsvarande tillägg.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Anslutningslistan är det auktoritativa svaret på om det finns en VPN-profil på den här telefonen. Om din tunnel saknas i den listan kommer inget arbete inne i containern att få den att synas. Ruttuppslaget svarar på en snävare fråga: vilket gränssnitt den här telefonen skulle använda för en destination. Det är kontrollen som upprepas efter varje ändring, för en profil kan finnas och ändå inte vara den väg ett visst program tar.

Läs ett arbetsflöde från början till slut

Välj den verkliga uppgiften, till exempel att nå en privat databas med en skrivbordsklient. Följ sedan flödet: programmet startar i containern, löser upp värdnamnet genom vilken resolver telefonen än använder, öppnar en socket, och telefonens routing avgör vilket gränssnitt som bär den. Varje steg har en ägare. Containern äger programmet, plattformen äger resolvern och routingen, och VPN-slutpunkten äger autentiseringen. Ett fel i vilket steg som helst är ett fel i det steget, inte i hela idén.

Testa det privata värdnamnet och den privata adressen var för sig. Ett namn som löses upp till en offentlig adress och en adress som routas in i en tunnel är olika observationer, och att blanda ihop dem ger en rapport som inte kan återskapas.

Vad som ska antecknas när svaret är nej

Ibland är den ärliga slutsatsen att den här telefonen, på den här utgåvan, inte kan bära arbetsflödet. Skriv ner det med bevisen: vilka anslutningstyper plattformen erbjuder, vilka klienter som provades och i vilket steg det misslyckades.

Ange sedan det alternativ som accepterades, vare sig det är en annan enhet, en annan åtkomstmetod eller en snävare uppgift som stannar inne i containern utan att röra privata nätverk.

Stå emot frestelsen att montera om bassystemet eller ge oförklarade rättigheter för att återskapa ett gammalt recept. En telefon som startar är inte samma sak som en telefon vars nätverkspolicy du fortfarande kan resonera om ett halvår senare.