Прафіль VPN на Android: знайдзіце ўладальніка перад рэдагаваннем
Радок VPN у сістэме хавае праграму, якая валодае канчатковым пунктам, маршрутамі і ключамі. Вызначце ўладальніка, затым параўнайце запытаны, атрыманы і ўжыты стан.
Экран VPN у Android паказвае адзін радок з назвай, значком ключа і, магчыма, перамыкачом заўсёднага ўключэння. Ён рэдка паказвае канчатковы пункт, палітыку маршрутаў, серверы DNS ці ўліковыя даныя, якія забяспечваюць злучэнне, бо ў тунелі на аснове праграмы яны належаць праграме. Практычны вынік — пытанне для інструкцыі, а не філасофскае: перш чым рэдагаваць спампаваны файл або шукаць цэнтральнае сховішча профіляў, высветліце, які кампанент валодае наладай, якую вы хочаце змяніць.
Спачатку вызначце тып злучэння
На тым жа экране налад ёсць як мінімум тры варыянты. Праграма можа выкарыстоўваць VpnService, каб стварыць віртуальны інтэрфейс і валодаць пратаколам і прыватнай канфігурацыяй, уключаючы лакальную праграму фільтрацыі без аддаленага выхаду. Android таксама можа стварыць профіль IKEv2 платформы праз Ikev2VpnProfile, даступны з API 30, дзе платформа захоўвае большую частку профілю. А праграма пастаўшчыка можа паказаць уласны спіс сервераў і збіраць налады ўнутры.
adb shell dumpsys connectivity | grep -i -A12 "VPN"
adb shell cmd connectivity list-owners 2>/dev/null || trueПершая каманда паказвае актыўную сетку VPN і ўласцівасці яе злучэння, гэта значыць ужыты стан. Калі радок называе знаёмы вам пакет, пачніце з уласнага прагляду профілю гэтай праграмы, а не з сістэмнага экрана.
Запішыце ўладальніка і межы профілю
Запішыце чатыры факты перад любымі зменамі: пакет-уладальнік, ці жыве злучэнне ў асабістым профілі або профілі працы, назву профілю або злучэння, як яе паказвае праграма, і хто ім кіруе. Уладальнік прылады можа стварыць VPN профілю працы, які карыстальнік асабістага профілю не можа рэдагаваць, а адна і тая ж праграма, усталяваная двойчы, дае двух незалежных уладальнікаў.
Гэты крок прадухіляе самую частую страту гадзіны — рэдагаванне профілю, які не з'яўляецца падключаным. Праграмы часта трымаюць некалькі профіляў, і актыўны з'яўляецца ўласцівасцю праграмы, а не радка Android.
Параўнайце запытаны, атрыманы і ўжыты стан
Гэта тры розныя этапы, і разыходжанне паміж імі паказвае, які кампанент трэба выправіць.
| Stage | Where to look | What it proves |
|---|---|---|
| Requested | The app's profile editor or imported file | What the owner intends to use |
| Received | Sanitized app log of server-supplied options | What the peer actually pushed |
| Applied | Link properties and routes after connect | What the device is really using |
Ужыты этап — адзіны, які можна назіраць, не давяраючы чыімсьці журналам. Параўнайце серверы DNS і маршруты ва ўласцівасцях актыўнага злучэння з тымі, што заяўляе профіль; калі яны адрозніваюцца, сервер нешта перадаў або праграма ўжыла палітыку, якой вы не чакалі.
adb shell ip addr show tun0
adb shell ip route show table all | head -40Назвы інтэрфейсаў адрозніваюцца паміж праграмамі, таму спачатку пералічыце інтэрфейсы і прачытайце той, што з'явіўся пры падключэнні тунеля. Маршрут, які ёсць у рэдактары праграмы, але адсутнічае тут, ніколі не ўжываўся; маршрут, які ёсць тут, але адсутнічае ў рэдактары, прыйшоў аднекуль іншага.
Рэдагуйце артэфакт, які ўладальнік сапраўды чытае
Для імпартаванага профілю OpenVPN праграма звычайна трымае ўласную копію. Рэдагаванне першапачаткова спампаванага файла пазней не зменіць наступнае злучэнне; выкарыстоўвайце дакументаваны рэдактар праграмы або імпартуйце зноў і пацвердзіце, які профіль цяпер актыўны. Гэта розніца паміж змяненнем файла і змяненнем канфігурацыі.
Праграмы пастаўшчыкоў часта збіраюць налады са спісу сервераў замест запісу файла, які можа рэдагаваць карыстальнік. Адсутнасць кнопкі экспарту не даказвае, што VPN фальшывы, а экспартаваны файл можа апускаць ключы, прывязаныя да прылады, ці матэрыялы рэгістрацыі, патрэбныя іншай прыладзе. Разглядайце экспарт і імпарт як асобныя аперацыі з уласнымі ўмовамі.
Напішыце нататку падтрымкі, не выдаючы сакрэтаў
Карысная нататка называе дакладную праграму і профіль, наладу, якая выглядае няправільна, і доказы з кожнага этапу. Напрыклад: гэты профіль атрымлівае прыватны адрас DNS ад сервера, але патрэбная працоўная праграма не можа вырашыць сваю службу, і ўжытыя ўласцівасці злучэння паказваюць гэты рэзалвер, тады як рэдактар профілю паказвае іншы.
Трымайце ўліковыя даныя па-за нататкай. Каб вызначыць уладальніка, не патрэбна ратаваць прыладу дзеля пошуку ў прыватным сховішчы праграмы, а меркаваны шлях да каталога даных не з'яўляецца падтрыманым інтэрфейсам. Калі адказ патрабуе байтаў, якія бачыць толькі праграма, папрасіце ва ўладальніка дыягнастычны экспарт, а не стварайце яго самі.
Калі праца скончана, завяршыце цыкл: пацвердзіце назву актыўнага профілю, перачытайце ўжыты стан і адключыцеся адзін раз, каб праверыць, што змена перажывае перападключэнне. Налада, якая існуе толькі ў рэдактары, не разгорнута.