Android L2TP avtomatlaşdırması: skript istəyə bilər, qura bilməz

Mif ondadır ki, L2TP Android-də skriptin işə sala biləcəyi daha bir şeydir: marşrut əlavə et, köhnə xidməti çağır, bitdi. Bu mümkün deyil, çünki tunel bir paket daşımazdan əvvəl dörd fərqli qat razılaşmalıdır. IPsec qatı yolu qoruyur, L2TP sessiyanı daşıyır, PPP keçidi razılaşdırır, Android isə nəticəni yönləndirə bildiyi VPN kimi qeydiyyata almalıdır. Mən bunu kopyalanmış əmrlərlə iki dəfə sınamışam və hər iki dəfə marşrut var idi, amma heç nə şifrələnmirdi.

Marşrut dəyişikliyi əslində nə edir

Marşrut əlavə etmək paketin sonra hara getdiyini müəyyən edir. O, təhlükəsizlik assosiasiyasını razılaşdırmır, L2TP sessiyası açmır və ünvan, həmkar və DNS parametrləri verən PPP mübadiləsini aparmır. Telefonda görünən nəticə yanlış yolla çıxan və ya çıxıb ölən trafikdir, heç bir tunel vəziyyəti yoxdur.

Eyni şey köhnə buraxılışdan kopyalanmış xidmət çağırışına da aiddir. Android-in daxili VPN boru xətti dərc edilmiş avtomatlaşdırma API-si deyil və başqa versiyadan götürülmüş nömrəli tranzaksiya fərqli əməliyyata düşə və ya skriptin malik olmadığı imtiyazlar tələb edə bilər. Parol daşıyan avtomatlaşdırma heç vaxt təxmin edilmiş daxili arqumentlərə güvənməməlidir, çünki uğursuzluq ya səssiz heçlik, ya da heç kimin təmizləmədiyi yarımçıq profildir.

Dörd sahib, skript isə onlardan biri deyil

Onları sıra ilə götürün. IPsec qorunan yolu qurur və saxlayır, həmkarları doğrulayır. L2TP sessiyanı onun üzərində daşıyır və standartın onları bir protokol kimi deyil, ayrı mexanizmlər kimi görməsinin səbəbi bu qatlanmadır. İçəridə PPP müştərinin istifadə edəcəyi keçid parametrlərini razılaşdırır. Sonra Android platforma tərəfini idarə edir: qeydiyyatdan keçmiş VPN interfeysi, hər tətbiq üzrə əhatə, həmişə açıq vəziyyəti və tətbiq öldürüldükdə nə olacağını müəyyən edən həyat dövrü.

Skript yalnız sonuncu qatı görə bilir və adətən dolayı yolla. Müştəri sənədləşdirilmiş idarəetmə təqdim edirsə, ondan qoşulmağı xahiş edə bilər və sonra interfeys vəziyyətini izləyə bilər. Altındakı üç qatı əvəz edə bilməz və platformanı qeydiyyatsız interfeysi VPN kimi qəbul etməyə məcbur edə bilməz.

Niyə demon da qısa yol deyil

Cihazda imtiyazlı Linux demonu işə salmaq çatışmayan hissə kimi görünür və çox vaxt həqiqətən tunel qaldırır. Etmədiyi şey həmin tuneli Android-də qeydiyyata almaqdır. İnterfeys nüvənin içində mövcuddur, lakin platformanın VPN seçimi, hər tətbiq üzrə yönləndirmə, həmişə açıq siyasəti və həyat dövrü ondan xəbərsizdir, demonun öz marşrut və DNS dəyişiklikləri də şəbəkə meneceri ilə eyni cədvəllər üçün rəqabət aparır.

Nəticə demonun trafiki üçün işləyən, sizin üçün vacib olan tətbiq üçün isə sirli şəkildə işləməyən əlaqə, ya da sistem şəbəkələrini yenidən qiymətləndirənə qədər qalan əlaqədir. Heç biri platforma xətası deyil; bu, soketə sahib olmaqla VPN imkanına sahib olmaq arasındaki sərhəddir.

Dəstəklənən yollar necə görünür

Təşkilat Android-in özünün təmin etdiyi profilə keçə bilirsə, platforma yolu dürüst yoldur. API 30-dan etibarən VpnManager platforma VPN profillərinin tətbiqlər tərəfindən təmin edilməsini və idarə olunmasını dəstəkləyir, çağıran tətbiqə bağlı avtorizasiya axını ilə. O, L2TP çeviricisi deyil: IKEv2 üçün təmin etdiyi profil modeli mövcud L2TP konfiqurasiyasını çevirmir və protokolu dəyişmək adını dəyişmək deyil, miqrasiyadır. Kimliklər, marşrutlar, özəl DNS və giriş icazələri qəsdən köçürülməlidir.

Xidmət L2TP/IPsec üzərində qalmalıdırsa, dəstəklənən birləşmə operatorun həqiqətən sənədləşdirdiyi müştəri və OS buraxılışı, varsa onun avtomatlaşdırma müqaviləsidir. Sənədləşdirilmiş nəzarətsiz idarəetmə yoxdursa, düzgün cavab bir buraxılışda təsadüfən işləyən kövrək imtiyazlı skript deyil, dəstəklənən əl ilə qoşulmadır.

Düzgün avtomatlaşdırma nə edir

Sənədləşdirilmiş idarəetmə verildikdə avtomatlaşdırmanın kiçik və müdafiə oluna bilən işi var: adlandırılmış əlaqəni tələb et, hazırlığı gözlə, autentifikasiya və ya quraşdırma uğursuzluğunda dayan, nəzərdə tutulan işi yerinə yetir və təmizliyi əlaqəyə sahib olan komponentə burax. Etimad məlumatları onları saxlamağı və rotasiya etməyi bilən müştəridə qalır.

İlk sətri yazmazdan əvvəl hansı komponentin hansı qata sahib olduğunu yazın və nəticəni buna görə yoxlayın:

• IPsec və PPP müştəri tərəfindən idarə olunur, skriptin marşrutları ilə deyil.
• Əlaqə platformanın VPN vəziyyətində görünür, ona görə hər tətbiq üzrə əhatə və həmişə açıq ona tətbiq olunur.
• Heç bir daxili xidmət çağırışı, tranzaksiya nömrəsi və ya təxmin edilmiş arqument etimad məlumatı daşımır.
• Hər hansı addımda uğursuzluq yarım qeydiyyatdan keçmiş profil qoymur.