Android-VPN-profiel: vind eers die eienaar voordat jy dit wysig

Die Android-VPN-skerm wys een ry met 'n naam, 'n sleutelikoon en miskien 'n altyd-aan-skakelaar. Dit wys selde die eindpunt, die roetebeleid, die DNS-bedieners of die geloofsbriewe wat die verbinding laat werk, want by 'n programgebaseerde tonnel behoort dit aan die program. Die praktiese gevolg is 'n runbook-vraag, nie 'n filosofiese een nie: voordat jy 'n afgelaaide lêer wysig of na 'n sentrale profielstoor soek, vind uit watter komponent die instelling besit wat jy wil verander.

Identifiseer eers die tipe verbinding

Daar is minstens drie reëlings op dieselfde instellingskerm. 'n Program kan VpnService gebruik om 'n virtuele koppelvlak te bou en die protokol en private konfigurasie te besit, insluitend 'n plaaslike filtreerprogram sonder 'n afstand-uitgang. Android kan ook 'n platform-IKEv2-profiel deur Ikev2VpnProfile voorsien, beskikbaar vanaf API 30, waar die platform meer van die profiel hou. En 'n verskafferprogram kan sy eie bedienerlys wys en instellings intern saamstel.

adb shell dumpsys connectivity | grep -i -A12 "VPN"
adb shell cmd connectivity list-owners 2>/dev/null || true

Die eerste opdrag wys die aktiewe VPN-netwerk en sy skakel-eienskappe, wat die toegepaste toestand is. As die ry 'n pakket noem wat jy herken, begin by daardie program se eie profielaansig eerder as by die stelselskerm.

Teken die eienaar en die profielomvang aan

Skryf vier feite neer voordat jy iets verander: die pakket wat dit besit, of die verbinding in die persoonlike of werkprofiel leef, die profiel- of verbindingsnaam soos die program dit wys, en wie dit administreer. 'n Toesteleienaar kan 'n werkprofiel-VPN voorsien wat 'n persoonlikeprofiel-gebruiker nie kan wysig nie, en dieselfde program wat twee keer geïnstalleer is, gee jou twee onafhanklike eienaars.

Hierdie stap voorkom die mees algemene vermorsde uur, naamlik om 'n profiel te wysig wat nie die een is wat gekoppel is nie. Programme hou dikwels verskeie profiele, en die aktiewe een is 'n eienskap van die program, nie van die Android-ry nie.

Vergelyk aangevraagde, ontvangde en toegepaste toestand

Dit is drie verskillende fases, en 'n verskil tussen hulle sê vir jou watter komponent om reg te maak.

Die toegepaste fase is die een wat jy kan waarneem sonder om iemand se log te vertrou. Vergelyk die DNS-bedieners en roetes in die aktiewe skakel-eienskappe met dié wat die profiel beweer; as hulle verskil, het die bediener iets gestuur of het die program 'n beleid toegepas wat jy nie verwag het nie.

adb shell ip addr show tun0
adb shell ip route show table all | head -40

Koppelvlakname verskil tussen programme, so lys eers die koppelvlakke en lees die een wat verskyn het toe die tonnel gekoppel het. 'n Roete wat in die program se redigeerder teenwoordig is maar hier afwesig is, is nooit toegepas nie; 'n roete wat hier is maar in die redigeerder afwesig is, het van êrens anders gekom.

Wysig die artefak wat die eienaar werklik lees

Vir 'n ingevoerde OpenVPN-profiel hou die program gewoonlik sy eie kopie. Om die oorspronklik afgelaaide lêer later te wysig, verander nie die volgende verbinding nie; gebruik die program se gedokumenteerde redigeerder, of voer weer in en bevestig watter profiel nou aktief is. Dit is die verskil tussen 'n lêer verander en 'n konfigurasie verander.

Verskafferprogramme stel instellings dikwels uit 'n bedienerlys saam eerder as om 'n gebruikersredigeerbare lêer te skryf. Die afwesigheid van 'n uitvoerknoppie is nie bewys dat die VPN vals is nie, en 'n uitgevoerde lêer kan toestelgebonde sleutels of inskrywingsmateriaal weglaat wat 'n ander toestel sou nodig hê. Behandel uitvoer en invoer as aparte bewerkings met hul eie voorwaardes.

Skryf die ondersteuningsnota sonder om geheime bloot te lê

'n Nuttige nota noem die presiese program en profiel, die instelling wat verkeerd lyk, en die bewyse uit elke fase. Byvoorbeeld: hierdie profiel ontvang 'n private DNS-adres van die bediener, maar die beoogde werkprogram kan nie sy diens oplos nie, en die toegepaste skakel-eienskappe wys daardie oplosser terwyl die profielredigeerder 'n ander een wys.

Hou geloofsbriewe uit die nota. Om die toestel te root om program-private berging te deursoek, is nie nodig om die eienaar te identifiseer nie, en 'n geraakte gids vir data is nie 'n ondersteunde koppelvlak nie. As die antwoord grepe nodig het wat net die program kan sien, vra die eienaar om 'n diagnostiese uitvoer eerder as om een te improviseer.

Wanneer die werk klaar is, sluit die lus: bevestig die aktiewe profielnaam, lees die toegepaste toestand weer, en ontkoppel een keer om te verifieer dat die verandering 'n herverbinding oorleef. 'n Instelling wat net in die redigeerder bestaan, is nie ontplooi nie.