Một VPN thứ cấp thuộc về một hồ sơ Wi-Fi, không phải tất cả

Định cấu hình VPN làm thứ cấp của kết nối Wi-Fi tại nhà và mọi thứ hoạt động, cho đến khi máy tính xách tay tham gia một điểm truy cập khác và đường hầm vẫn nằm dưới. Kết nối mới là một đối tượng cấu hình riêng với UUID của chính nó, và nó không có lý do gì để biết về mối liên kết mà bạn đã tạo cho tiền nhiệm của nó. Không có gì bị hỏng; mối liên kết đơn giản là chưa bao giờ tồn tại.

Tài liệu tham chiếu kết nối của NetworkManager định nghĩa các kết nối thứ cấp là các UUID được kích hoạt cùng với một kết nối cơ sở cụ thể. Nó cũng lưu ý rằng các hồ sơ VPN thông thường không triển khai kích hoạt tự động như các kết nối cơ sở. Cả hai phát biểu đều dẫn đến cùng một kết luận: mối liên kết là theo từng hồ sơ, và ai đó phải tạo nó cho mỗi hồ sơ mới.

Thứ cấp thực sự là gì

Một kết nối cơ sở có danh tính, một UUID và danh sách các kết nối thứ cấp. Khi nó kích hoạt, trình quản lý cũng kích hoạt các kết nối thứ cấp đó theo thứ tự, và đó là cách một VPN theo sau một mạng Wi-Fi mà không cần nhấp thủ công. Mối quan hệ nằm trên kết nối cơ sở, được ghi dưới dạng chuỗi UUID thay vì tên. Lựa chọn biểu diễn đó không phải ngẫu nhiên; chính nó giúp mối liên kết tồn tại qua một lần đổi tên.

Chi tiết về tên đó quan trọng hơn vẻ ngoài của nó. Đổi tên một hồ sơ VPN để nguyên UUID của nó, vì vậy các mối liên kết hiện có tiếp tục hoạt động. Xóa hồ sơ cũ và nhập hồ sơ mới tạo ra một UUID mới, và mọi mối liên kết từng trỏ đến hồ sơ cũ giờ không trỏ đến đâu cả.

Xem lại danh sách hiện có trước khi thêm. Một hồ sơ tại nhà mang một thứ cấp không phải là quy tắc phù hợp với mọi SSID; đó là một hàng trong một đối tượng, và nó sẽ không được tham chiếu khi một cơ sở khác kích hoạt.

Đặt mối liên kết ở nơi các hồ sơ được tạo

Trên một máy cá nhân, hãy biến việc gắn thứ cấp dự định thành một phần của việc thêm từng hồ sơ Wi-Fi được phép. Đó là thói quen chứ không phải tính năng, nhưng là thói quen tạo ra trạng thái nhất quán, và nó tốn một lệnh hoặc hai lần mở hộp thoại cho mỗi mạng. Giữ một ghi chú ngắn về những mạng nào được cho là mang đường hầm, vì danh sách chính là chính sách.

Trên các thiết bị được quản lý, hãy để quy trình cấp phát tạo mục Wi-Fi và mối liên kết VPN của nó trong cùng một bước, và áp dụng cách xử lý tương tự cho các hồ sơ được phép đã tồn tại. Chỉ phân phối một hồ sơ VPN để các mối quan hệ cơ sở không được chỉ định, và đó là cách một đội thiết bị kết thúc với một đường hầm mà chỉ một nửa số máy tính xách tay sử dụng.

Ở nơi người dùng vẫn có thể tạo hồ sơ ngoài con đường được quản lý, hãy quyết định rõ ràng điều gì xảy ra với những mục đó. Giả định rằng chúng kế thừa một mối liên kết không phải là chính sách; đó là một hy vọng kèm theo chi phí hỗ trợ.

Lập kế hoạch cho việc danh tính của VPN thay đổi

Nguồn cấp phát cần UUID của VPN dự định, không phải một tên hiển thị mà ai đó đoán ra. Khi bảo trì thay thế VPN đó bằng một đối tượng mới được nhập, hãy cập nhật mẫu cấp phát và các mối liên kết hiện có bị ảnh hưởng trong cùng một thay đổi. Đổi tên không phải là thay thế, và coi hai điều đó là tương đương chính là cách một đợt triển khai đang hoạt động hỏng một tuần sau đó.

Lưu UUID bên cạnh lý do nó tồn tại. Một kỹ sư tương lai tìm thấy một UUID trần trong danh sách thứ cấp không có cách nào biết nó có còn hiệu lực hay không, và có khả năng sẽ xóa nó khi dọn dẹp.

Kích hoạt không phải là thực thi

Một yêu cầu thứ cấp xảy ra tại thời điểm kích hoạt. Nó không chặn ứng dụng trong khoảng thời gian trước khi xác thực hoàn tất, và nó không dừng lưu lượng sau khi đường hầm thất bại. Đó là những thuộc tính khác nhau do các cơ chế khác nhau cung cấp, và việc lẫn lộn chúng tạo ra một thiết kế trông nghiêm ngặt trong hồ sơ nhưng lại dễ dãi trên thực tế.

Chặn lưu lượng trực tiếp là một tính năng riêng với cấu hình riêng và các chế độ lỗi riêng, và nó phải tính đến lưu lượng cần đến được mạng trước khi bất kỳ đường hầm nào có thể tồn tại: cổng bắt giữ, trang đăng nhập, chính điểm cuối. Một chính sách chặn không thể đáp ứng trước khi xác thực sẽ khóa máy ra khỏi đúng mạng mà nó cần.

Đưa sự phân biệt đó vào các hướng dẫn mà người dùng thực sự đọc. Một mạng Wi-Fi mới có thể yêu cầu đường hầm; việc thực thi quyết định liệu có gì được ra ngoài khi không thể kết nối. Người dùng chỉ được kể nửa đầu sẽ báo cáo thiết kế là hỏng.

Kiểm tra với một hồ sơ thực sự mới

Dùng một mạng kiểm thử đã được phê duyệt và một hồ sơ cơ sở mới tạo, không phải mục tại nhà đã hoạt động. Quan sát việc kích hoạt cơ sở, UUID thứ cấp được yêu cầu và mọi lời nhắc xác thực theo thứ tự, và ghi lại giai đoạn nào bị kẹt khi nó bị kẹt. Một tác nhân bí mật trở nên khả dụng sau khi đăng nhập màn hình nền không tự động hiện diện trong mọi ngữ cảnh khởi động, vì vậy khởi động lại thuộc về kế hoạch kiểm thử. Sau đó kiểm tra tài nguyên dự định và đường dẫn thất bại: đường hầm có được dựng lên trước khi ứng dụng cần đến nó không, và điều gì xảy ra với ứng dụng đó khi xác thực thất bại?

Sau đó kiểm tra tài nguyên dự định và đường dẫn thất bại: đường hầm có được dựng lên trước khi ứng dụng cần đến nó không, và điều gì xảy ra với ứng dụng đó khi đường hầm không thể xác thực? Hai quan sát đó chính là tiêu chí chấp nhận, và không quan sát nào trong số chúng hiển thị trong chính hồ sơ.