Чи дає Libertine в Ubuntu Touch VPN на весь телефон?

В Ubuntu Touch два питання ставлять як одне: чи запуститься цей пакет для робочого столу і чи отримає телефон VPN. Контейнер відповідає на перше. Ніщо в ньому не відповідає на друге, бо контейнер має власний погляд на файлову систему, а мережевий стек і його політика належать телефону. Простежте, де живе кожна частина, перш ніж обіцяти робочий процес.

Два питання, що виглядають як одне

Запуск застосунку для робочого столу в контейнері — це досягнення пакування. Змусити менеджер з'єднань телефона встановити тунель, утримати його крізь сон і вирішити, що станеться при обриві, — це робота платформи. Інсталятор, що завершується всередині контейнера, доводить лише те, що залежності там розв'язалися. Він нічого не каже про те, чи має телефон схвалений плагін VPN, чи переживе тунель перезавантаження і які застосунки ним користуються.

Тримайте ці дві речі в окремих реченнях у будь-якій оцінці. Їхнє злиття — це шлях, яким лабораторна демонстрація перетворюється на зобов'язання підтримки, яке ніхто не може виконати.

Що насправді дає межа контейнера

Контейнер Libertine — це середовище для запису, накладене на телефон, базова система якого доступна лише для читання. Тому встановлення пакета там взагалі працює і тому те саме встановлення в базовій системі не працює. Він також запускає застосунки на передньому плані, інтегрованими з екраном телефона, і явно не є способом запускати серверне програмне забезпечення або тримати процес живим у фоні. Ці обмеження важливі для клієнта VPN, який має залишатися ввімкненим.

libertine-container-manager list
libertine-container-manager info -i <container-id>
libertine-launch -i <container-id> bash

Список показує, які контейнери існують, а команда info повідомляє дистрибутив і стан встановлення. Команда launch дає вам оболонку всередині, і це правильне місце, щоб перевірити, що пакет справді встановив. Чого вона не дає — це влади над мережею телефона. Двійковий файл усередині контейнера, який хоче створити тунель, потребує привілейованого інтерфейсу, а цей інтерфейс належить платформі, а не контейнеру.

Де живе мережевий стан телефона

Імена, маршрути та профілі з'єднань керуються мережевою службою телефона, поза будь-яким контейнером. Запис тунелю з'являється там лише тоді, коли платформа підтримує цей тип VPN і оператор установив відповідний плагін.

nmcli connection show
ip route get 10.42.0.10
ip -br addr show

Список з'єднань — це авторитетна відповідь на питання, чи є на цьому телефоні профіль VPN. Якщо вашого тунелю немає в цьому списку, жодна робота всередині контейнера не змусить його з'явитися. Пошук маршруту відповідає на вужче питання: який інтерфейс цей телефон використав би для одного призначення. Саме цю перевірку треба повторювати після будь-якої зміни, бо профіль може існувати і все ж не бути шляхом, яким іде певний застосунок.

Прочитайте один робочий процес від початку до кінця

Виберіть реальне завдання, наприклад доступ до приватної бази даних із клієнтом для робочого столу. Далі простежте потік: застосунок стартує в контейнері, розв'язує ім'я хоста через будь-який резолвер, який використовує телефон, відкриває сокет, і маршрутизація телефона вирішує, який інтерфейс його понесе. Кожен крок має власника. Контейнер володіє застосунком, платформа володіє резолвером і маршрутизацією, а кінцева точка VPN володіє автентифікацією. Збій на будь-якому кроці — це збій цього кроку, а не всієї ідеї.

Перевіряйте приватне ім'я хоста і приватну адресу окремо. Ім'я, що розв'язується в публічну адресу, і адреса, що маршрутизується в тунель, — це різні спостереження, і їхнє змішування дає звіт, який неможливо відтворити.

Що записати, коли відповідь — ні

Іноді чесний висновок полягає в тому, що цей телефон у цьому випуску не може нести робочий процес. Запишіть це з доказами: які типи з'єднань пропонує платформа, які клієнти були випробувані і на якому кроці стався збій.

Потім укажіть прийняту альтернативу: інший пристрій, інший спосіб доступу або вужче завдання, що залишається всередині контейнера, не торкаючись приватних мереж.

Опіртеся спокусі знову змонтувати базову систему або надати непояснені привілеї, щоб відтворити старий рецепт. Телефон, що завантажується, — це не те саме, що телефон, про мережеву політику якого ви ще можете міркувати через півроку.