Sağlayıcı VPN uygulamasına karşı NetworkManager: durumun sahibi kim?
Profil, sağlayıcı istemcisinin davranışını değil bir eklentiyi adlandırır. Yönetilen bir dizüstü bilgisayarı değiştirmeden önce kayıt, DNS, engelleme ve güncellemelerin sahibini haritalayın.
Bir profili içe aktarmak, bir istemciyi değiştirmekle aynı şey değildir. NetworkManager, eklenti türünü eklentiye özgü veriler ve sırlarla birlikte saklar ve o türün sahibi olan eklenti bağlantının neler yapabileceğine karar verir. Sağlayıcının uygulamasının üstüne koyduğu her şey, kayıttan kalıcı engellemeye kadar, dosyanın dışında yaşar. Geçişin güvenli olup olmadığı, bu katmanlardan hangilerine gerçekten güvendiğinize bağlıdır.
Dosya bir eklentiyi adlandırır, bir özellik kümesini değil
NetworkManager'ın VPN ayarları başvurusu eklentiyi seçen hizmet türünü, ayrıca yalnızca eklentinin yorumladığı opak bir veri sözlüğünü ve bir sır sözlüğünü açıklar. Profil, tek bir uygulamayla yapılan bir sözleşmedir; herhangi bir istemcinin yeniden üretebileceği bir davranış tarifi değildir. İki istemci aynı protokolü konuşabilir ve yine de ne üzerinde pazarlık ettikleri ve hangi veri yollarını etkinleştirdikleri bakımından farklılaşabilir. Bir protokolün adı tünelin ne olduğunu söyler, çevredeki istemcinin onunla ne yaptığını asla söylemez.
Bu yüzden sarmalayıcıları değil gereksinimleri karşılaştırın. Soru, alternatifin bağlanıp bağlanamayacağı değil, çünkü genellikle bağlanabilir; soru, özgün istemciyi kabul edilebilir kılan her gereksinimin geçişten sağ çıkıp çıkmadığıdır. Bir şey kurmadan önce o gereksinimleri yazın, yoksa karşılaştırma ilk neyin bozulacağını aramaya dönüşür.
Sağlayıcı uygulaması tünelin çevresine ne ekler
Sağlayıcı istemcileri genellikle kaydı ve cihaz duruşu denetimlerini, kendi arayüzü olan bir ikinci faktör akışını, kalıcı engellemeyi, bir güncelleme kanalını ve destek araçlarını bir arada paketler. Bunun bir kısmı protokolün yanında durur, bir kısmı ise yalnızca kurulum dosyasını paylaşan ayrı bir üründür. NetworkManager tüneli ve yönlendirmesini değiştirebilir ve bağlantının durumu değiştiğinde gönderici betikleri eylemleri tetikleyebilir. Ancak bir engelleme motorunu, sertifika yenileme akışını veya bağlantıyı hangi kullanıcının kaldırabileceğine dair bir varsayımı yeniden üretmez.
Daha fazla bileşen daha güvenli demek değildir, daha azı da daha zayıf demek değildir. Soru, size uyulması söylenen politikayı hangi bileşenin uyguladığıdır. Bir denetçi tünel düştüğünde trafiği neyin engellediğini sorarsa, yanıt bunu gerçekten yapan bir şeyi adlandırmalıdır ve yalnızca bağlanan bir profil o yanıt değildir.
Sahiplik gerçekte nerede farklılaşır
Bunu kontrol listesi değil, bir sahiplik haritası olarak okuyun, çünkü aşağıdaki arızalar sahiplik boşluklarıdır ve hiçbir istemci yapılandırması onları kapatmaz. Her satır katmanı, onu bugün genellikle hangi tarafın tuttuğunu ve boşluğun ilk nerede göründüğünü adlandırır.
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
Her satırı istemci hakkında bir hisle değil, yineleyebileceğiniz bir gözlemle eşleştirin. Amaçlanan çözümleyici üzerinden çözülen bir ad, tünel durduğunda kaybolan bir yol ve benzetilmiş bir kopmadan sonra engellenen bir bağlantı, birlikte tablonun büyük bölümünü kapsayan üç gözlemdir. Gözlemi kanıtladığı gereksinimin yanına yazın ve başarısız olanları saklayın, çünkü başarısız bir gözlem kaydın bir sonraki olayı öngören tek parçasıdır.
Sahipliği üst üste bindirmeden geçiş
Aynı hizmet için sağlayıcı istemcisini ve bir NetworkManager bağlantısını aynı anda çalıştırmak, bu karşılaştırmaların ters gitmesinin en yaygın yoludur. İkisi de yollar kurar, ikisi de DNS ayarlayabilir ve ikisi de güvenlik duvarı durumuna dokunabilir. O zaman ölçtüğünüz şey, iki istemcinin de belgelenmiş davranışına uymayan üçüncü bir düzenlemedir.
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"İlk komut, profilin baştan itibaren VPN türü olup olmadığını söyler. İkincisi eklentinin hizmet türünü ve hangi sırların saklandığını gösterir; bu, anahtar dosyadan değil bir ajandan beklendiğinde önemlidir. Günlük, yüklenen ama pazarlık edemeyen bir eklentinin bunu söyleyeceği yerdir. Üçü de bir sorun göstermiyorsa boşluk bağlantıda değil, tünelin üstündeki politika katmanlarındadır.
Yeni bağlantıyı etkinleştirmeden önce eski istemcinin bağlantısını kesin, uç noktaları ve hesabı aynı tutun ve yolların, çözümleyici ayarlarının ve engellemenin sahibi olan bileşeni yazın. Sonraki güncellemenin iki sahiple bitmesini engelleyen şey o nottur.