İnzibatçı hüququ olmadan portativ VPN müştərisi: hələ də nə sınır

Portativ sözü quraşdırıcını təsvir edir, nüvəni yox. Müştəri USB çubuqda tək icra olunan fayl kimi gələ və ilk paket hərəkət etməzdən əvvəl yenə də tunel cihazına, marşrut cədvəli qeydinə və həllediciyə yazıya ehtiyac duya bilər. Hədəf maşının bu üçündən hansına toxunmağa icazə verməsi o qurğunun orada ümumiyyətlə işləyib-işləmədiyini həll edir. Aşağıdakı yoxlamalar suala müştərinin onlarla qarşılaşacağı sıra ilə cavab verir.

Portativ üç fərqli vədi əhatə edir və yalnız biri pulsuzdur

Quraşdırıcı olmaması o deməkdir ki, təchizatçı xidmət qeydiyyata almayıb, silici göndərməyib və menyuya giriş əlavə etməyib. İnzibatçı olmaması o deməkdir ki, adi hesab müştərini başlada və bağlantını tamamlaya bilər. Host dəyişikliyi olmaması o deməkdir ki, siz çıxdıqdan sonra maşın eyni görünür. Portativ dediyini yazan yükləmə səhifələri adətən bunlardan yalnız birincisini vəd edir, digər ikisi isə yerləşdirmələrin uğursuz olduğu yerdir. Qurğu həm də dar mənada portativ ola bilər: yalnız oxuma üçün mediadan heç bir nöqtəli fayl yazısı olmadan işləyir, bu isə şəbəkə yığını haqqında yenə heç nə demir.

Bahalı vədlər ikinci və üçüncüdür. Adapterə, marşruta və ya həllediciyə yazıya ehtiyac duyan tək icra olunan fayl əməliyyat sistemindən portativ etiketinin heç vaxt əhatə etmədiyi səlahiyyət istəyir.

Müştərinin çağıracağı imtiyazlı köməkçini tapın

Demək olar ki, heç bir VPN müştərisi paketləri özü hərəkət etdirmir. Windows-da məlumat yolu WFP filtrlərindən və Base Filtering Engine-dən, macOS-da istifadəçinin Sistem Parametrlərində təsdiqlədiyi NetworkExtension provayderindən, Linux-da isə tun cihazı və marşrutlaşdırma yığınından keçir. Kopyaladığınız binar həmin komponentlər üçün idarəetmə səthidir, onların əvəzi deyil. Müştərinin hansı komponenti gözlədiyini soruşun, sonra onun quraşdırıldığını, işlədiyini və hesabınız tərəfindən istifadə oluna bildiyini təsdiqləyin.

Linux nöqtəni sübut etmək üçün ən asan yerdir, çünki yoxlama tək sistem çağırışıdır. /dev/net/tun faylını açmaq və nüvədən cihaz istəmək CAP_NET_ADMIN tələb edir, və nüvə TUN/TAP sənədləşməsi həm sahiblik qaydasını, həm də imkanı göstərir. Yoxlamanı müştərini başladacaq hesabla işə salın, root ilə yox.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Orta sətirdəki icazə xətası axtardığınız cavabdır: bu hesab tunel interfeysi yarada bilməz, ona görə birinə ehtiyac duyan istənilən istifadəçi sahəsi müştərisi yükləmə zamanı deyil, qoşulma zamanı uğursuz olur. Son sətir sınaq cihazını silir və işlədiyi zaman heç nə çap etmir. Əgər hər iki sətir uğurlu olarsa, host daimi heç nə dəyişməyib.

İlk qoşulmadan əvvəl marşrut və həlledici dəyişikliklərini sınayın

Bölünmüş tunelleşdirmə bağlantını marşrut qərarına çevirir, tam tunel isə onu standart marşrutun əvəzlənməsinə çevirir. Hər ikisi host şəbəkə yığınına yazıdır və hər ikisi imtiyazsız hesab üçün uğursuz olur, hətta müştəri özü təmiz başlasa da. Həlledici üçüncü yazıdır və systemd hostlarında adətən ən son sınan odur. Bu sıra yüksək imtiyazlı quraşdırmanı hara xərcləyəcəyinizi qərarlaşdırarkən vacibdir.

Marşrut yoxlaması həqiqətən vecinizə olan bir təyinat tələb edir, ona görə aşağıdakı yer tutucu əvəzinə öz profilinizdən bir alt şəbəkə qoyun. Marşrutun hər hansı bir şeyə qoşulması üçün cihaz adı mövcud olmalıdır.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

RTNETLINK answers: Operation not permitted qaytaran birinci sətir hesabın profilin tələb etdiyi özəl marşrutu quraşdıra bilmədiyini bildirir. İkinci sətir eyni hüququ tərsinə sübut edir, bu vacibdir, çünki marşrut əlavə edib silə bilməyən müştəri arxada pozulmuş cədvəl qoyur. Sonra həlledici sorğusu özəl adların tuneldən keçib keçmədiyini və ya hostun artıq güvəndiyi həllediciyə sızıb-sızmadığını göstərir.

Sınaq cihazı hələ mövcud ikən hər üçünü işə salın, sonra onu silin. Getmiş cihaza işarə edən marşrut noutbukun uğursuz qoşulmadan sonra bağlantını itirməsinin ən çox yayılmış səbəbidir.

Sessiyadan sonra nəyin qalmalı olduğuna qərar verin

Qovluğu silmək təmizlik planı deyil. Adapterlər, marşrutlar, həlledici parametrləri, etibarlı sertifikatlar və saxlanmış etimadnamələr hər biri prosesdən uzun yaşaya bilər və yükləmə zamanı işləyən xidmət bəzilərini soruşmadan bərpa edə bilər. Müştərinin nəyi arxada qoymasına icazə verildiyini onu işə salmazdan əvvəl yazın, ilk uğursuz ayırmadan sonra yox.

Praktik qayda dəyişmək üzrə olduğunuz üç səthin anlıq görüntüsünü almaq və sonra onları müqayisə etməkdir. İlk qoşulmadan əvvəl interfeysləri, əsas marşrut cədvəlini və həlledici vəziyyətini qeyd edin, sonra müştəri çıxdıqdan sonra eyni üç oxunuşu təkrarlayın.

ip -brief addr show
ip route show table main
resolvectl status

İkinci çəkilişdə olub birincidə olmayan hər şeyə sahib lazımdır. Ya müştəri onu çıxışda silir, ya da siz onu yaradan eyni əmrlərlə silirsiniz, və bu silmə nə baş verdiyi barədə kiminsə yaddaşında deyil, yerləşdirmə qeydlərində olmalıdır. Windows-da ekvivalent oxunuşlar Get-NetAdapter, Get-NetRoute və Get-DnsClientServerAddress-dir, onlar imtiyaz tələb etmir, lakin eyni qalıqları göstərir.