VPN app ng vendor kumpara sa NetworkManager: sino ang may-ari ng estado?
Pinapangalanan ng profile ang isang plugin, hindi ang pag-uugali ng kliyente ng vendor. I-map kung sino ang may-ari ng enrolment, DNS, pagharang at mga update bago mo palitan ang pinamamahalaang laptop.
Ang pag-import ng profile ay hindi kapareho ng pagpapalit ng kliyente. Nag-iimbak ang NetworkManager ng uri ng plugin kasama ng data at lihim na partikular sa plugin, at ang plugin na may-ari ng uri na iyon ang nagpapasya kung ano ang magagawa ng koneksyon. Lahat ng ipapatong ng aplikasyon ng vendor, mula enrolment hanggang palagiang pagharang, ay nabubuhay sa labas ng file. Kung ligtas ang pagpapalit ay depende sa kung alin sa mga layer na iyon ang talagang inaasahan mo.
Pinapangalanan ng file ang isang plugin, hindi isang hanay ng tampok
Inilalarawan ng sanggunian ng mga setting ng VPN sa NetworkManager ang isang uri ng serbisyo na pumipili ng plugin, kasama ang isang malabong diksyunaryo ng data at isang diksyunaryo ng lihim na ang plugin lang ang nagbibigay-kahulugan. Ang profile ay isang kontrata sa isang implementasyon, hindi isang paglalarawan ng pag-uugali na maaaring muling gawin ng kahit anong kliyente. Maaaring magsalita ng parehong protocol ang dalawang kliyente at magkaiba pa rin sa kung ano ang kanilang pinag-uusapan at kung aling mga landas ng data ang kanilang binubuksan. Sinasabi ng pangalan ng protocol kung ano ang tunnel, hindi kailanman kung ano ang ginagawa ng kliyenteng nakapaligid dito.
Kaya ihambing ang mga pangangailangan, hindi ang mga balot. Ang tanong ay hindi kung makakakonekta ang alternatibo, dahil kadalasan ay nakakakonekta; ito ay kung bawat pangangailangan na nagpaging katanggap-tanggap sa orihinal na kliyente ay nananatili pagkatapos ng paglipat. Isulat ang mga pangangailangang iyon bago mag-install ng kahit ano, o ang paghahambing ay magiging paghahanap sa kung ano ang unang masisira.
Ano ang idinadagdag ng app ng vendor sa paligid ng tunnel
Karaniwang pinagsasama ng mga kliyente ng vendor ang enrolment at mga pagsusuri ng postura ng device, isang daloy ng ikalawang salik na may sariling interface, palagiang pagharang, isang channel ng update at mga kasangkapan sa suporta. Ang ilan doon ay nakatayo sa tabi ng protocol, at ang ilan ay isang hiwalay na produkto na nagbabahagi lamang ng installer. Maaaring palitan ng NetworkManager ang tunnel at ang routing nito, at ang mga script ng dispatcher ay maaaring magpakawala ng mga aksyon kapag nagbago ang estado ng koneksyon. Ngunit hindi nito muling ginagawa ang isang makina ng pagharang, isang daloy ng pag-renew ng sertipiko o isang palagay tungkol sa kung sinong gumagamit ang maaaring magtaas ng koneksyon.
Ang mas maraming bahagi ay hindi nangangahulugang mas ligtas, at ang mas kaunti ay hindi nangangahulugang mas mahina. Ang tanong ay kung aling bahagi ang nagpapatupad ng patakarang sinabi sa iyong sundin. Kung magtanong ang isang auditor kung ano ang humaharang sa trapiko kapag bumagsak ang tunnel, kailangang pangalanan ng sagot ang isang bagay na talagang gumagawa nito, at ang profile na kumokonekta lamang ay hindi ang sagot na iyon.
Kung saan talaga nagkakaiba ang pagmamay-ari
Basahin ito bilang isang mapa ng pagmamay-ari at hindi bilang checklist, dahil ang mga pagkabigo sa ibaba ay mga puwang sa pagmamay-ari at walang dami ng configuration ng kliyente ang nagsasara sa mga ito. Pinapangalanan ng bawat hilera ang layer, ang panig na karaniwang may hawak nito ngayon, at kung saan unang lumilitaw ang puwang.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Ipares ang bawat hilera sa isang obserbasyon na maaari mong ulitin, hindi sa isang pakiramdam tungkol sa kliyente. Isang pangalan na naresolba sa nilalayong resolver, isang ruta na nawawala kapag huminto ang tunnel, at isang koneksyong hinarangan pagkatapos ng simulate na pagkakadiskonekta ang tatlong obserbasyon na magkakasamang sumasaklaw sa karamihan ng talahanayan. Isulat ang obserbasyon sa tabi ng pangangailangang pinatutunayan nito, at itago ang mga nabigo, dahil ang nabigong obserbasyon ang tanging bahagi ng talaan na humuhula sa susunod na insidente.
Pagpapalit nang walang magkapatung-patong na pagmamay-ari
Ang pagpapatakbo ng kliyente ng vendor at isang koneksyon ng NetworkManager para sa parehong serbisyo nang sabay ay ang pinakakaraniwang paraan na nagkakamali ang mga paghahambing na ito. Parehong nag-i-install ng mga ruta, pareho ang maaaring magtakda ng DNS, at pareho ang maaaring sumaling sa estado ng firewall. Ang sinusukat mo noon ay isang pangatlong kaayusan na hindi tumutugma sa dokumentadong pag-uugali ng alinman sa dalawang kliyente.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"Sinasabi ng unang utos kung ang profile ay uri ng VPN man lang. Ipinapakita ng pangalawa ang uri ng serbisyo ng plugin at kung aling mga lihim ang nakaimbak, na mahalaga kapag inaasahan ang isang susi mula sa isang agent sa halip na sa file. Ang journal ang lugar kung saan sasabihin ng plugin na nag-load ngunit hindi nakipag-usap. Kung wala sa tatlo ang nagpapakita ng problema, ang puwang ay nasa mga layer ng patakaran sa itaas ng tunnel at hindi sa koneksyon.
Idiskonekta ang lumang kliyente bago paganahin ang bagong koneksyon, panatilihing magkapareho ang mga endpoint at account, at isulat kung aling bahagi ang may-ari ng mga ruta, setting ng resolver at pagharang. Ang tala na iyon ang pumipigil sa susunod na update na magtapos na may dalawang may-ari.