Межы скіду VPN на Android: што насамрэч выдаляе кожны ўзровень
Кэш, памяць праграмы, скід сеткі і скід да завадскіх налад выдаляюць розныя станы Android. Суаднясіце ўзровень са станам, які вы падазраяце, перш чым выдаляць профіль.
У Android ёсць чатыры асобныя аперацыі, якія людзі называюць скідам VPN, і яны выдаляюць рознае. Ачыстка кэша праграмы выдаляе часовыя файлы; ачыстка яе памяці выдаляе сам профіль. Скід сеткі перабудоўвае стэк злучэнняў, а скід да завадскіх налад замяняе раздзел даных карыстальніка. Выбірайце аперацыю па стане, які вы падазраяце, а не па звычцы. Калі памыліцеся, профіль або шлях інляшэння, які быў патрэбны, знікне перш, чым вы нешта дыягнастуеце.
Вось правіла, якое я ўжываю пры кожным званку: назавіце стан, назавіце яго ўладальніка, потым выдаліце толькі копію гэтага ўладальніка. Астатняя частка старонкі — пра тое, які кампанент Android трымае якія байты.
Дзе насамрэч жыве профіль VPN на Android
Старонні кліент на некіраваным тэлефоне трымае профіль у сваёй тэчцы даных праграмы — як файл налад, блок JSON або невялікую базу SQLite. Менавіта гэтую тэчку выдаляе пункт Налады: Ачысціць памяць. Профіля няма ў сістэмным спісе VPN: той спіс трымае запіс злучэння, які кліент зарэгістраваў праз VpnService, і ўключае назву злучэння, пакет-уладальнік і любы сцяг пастаяннага ўключэння, які выставіў карыстальнік.
VpnService — гэта сантэхніка, а не сховішча. Кліент адзін раз пытаецца згоды, будуе інтэрфейс tun і сам перамяшчае пакеты, таму платформе ніколі не трэба разумець фармат профілю. Менавіта таму файл канфігурацыі, скапіяваны з іншага тэлефона, часта імпартуецца як пусты профіль або не праходзіць праверку.
Уліковыя даныя ідуць іншым шляхам. Ключ або сертыфікат, атрыманы праз сістэмны KeyChain, застаецца ў сховішчы, якім кіруе сістэма, таму выдаленне даных праграмы можа пакінуць уліковыя даныя прыдатнымі, выдаліўшы толькі псеўданім кліента да іх.
Кіраваныя прылады дадаюць другога ўладальніка. Працоўны профіль, створаны EMM, запускае ўласную копію кліента пад уласнай палітыкай, а пастаянна ўключаны VPN можа быць замацаваны палітыкай прылады, каб карыстальнік не мог адключыць яго. На такіх прыладах профіль звычайна прадастаўляецца пры інляшэнні, а не ўводзіцца ўручную. Тады аднаўленне — гэта рашэнне пра паўторнае інляшэнне, а не пра паўторны імпарт.
Кэш, памяць, скід сеткі, скід да завадскіх налад
Чатыры аперацыі адпавядаюць гэтым межам. Прачытайце радок для стану, які вы падазраяце, перш чым нешта націснуць.
| Operation | What it removes | What survives |
|---|---|---|
| Clear cache | Temporary files, including any diagnostic bundle the client wrote there | Profile, credentials, enrollment |
| Clear storage | The app's preferences, databases and saved profile | KeyChain entries, other apps, device policy |
| Network reset | Wi-Fi, mobile and Bluetooth registrations, and on most builds the saved VPN entries | App data, KeyChain, work profile |
| Factory reset | The user data partition, accounts and device-bound keys | Nothing on the device |
Ачыстка кэша — самая бяспечная і найменш карысная. Яна выдаляе часовыя файлы, а менавіта туды кліент мог пакласці журнал, які агент падтрымкі толькі што ў вас папрасіў. Кіраўніцтва Android па ліквідацыі непаладак праграм разглядае кэш і памяць як два розныя выдаленні, і вам варта рабіць так сама.
Ачысціць памяць — гэта сапраўдны скід асобнай праграмы. Ён выдаляе профіль, захаваны шлюз і сцягі даверу, якія кліент трымаў для пэўных сетак. Ён не адклікае запісы KeyChain, не выдаляе сістэмны запіс VPN, якім валодае іншая праграма, і ў кіраваным профілі не выдаляе палітыку, якая першапачаткова праштурхнула профіль.
Скід сеткі ў Наладах дзейнічае на ўсю прыладу, і яго дакладны абсяг змяняецца ў залежнасці ад вытворцы і версіі Android. Дыялог пацверджання ў вашай зборцы — адзінае надзейнае сцвярджэнне пра тое, што ён забудзе.
Спачатку запішыце шлях назад
Перад любым разбуральным крокам запішыце пяць рэчаў: версію кліента, назву профілю, адрас шлюза, уладальніка паслугі і дакладную стадыю, на якой злучэнне не ўдаецца.
Менавіта гэтыя пяць фактаў аддзяляюць памылку кліента ад памылкі палітыкі або сервера. Тайм-аўт, адхіленне сертыфіката і імгненная адмова — тры розныя збоі, і кожны паказвае на іншага ўладальніка. Ачысціце памяць першай — і вы страціце доказы з боку кліента, якія дапамаглі б іх адрозніць. Захавайце ачышчаную копію журнала, пакуль ён яшчэ існуе.
Затым пацвердзіце, як злучэнне будзе створана зноў. Назвы для адлюстравання і імя хоста недастаткова, калі профіль залежаў ад сертыфіката кліента, кіраванай канфігурацыі або інляшэння MFA, прывязанага да гэтай прылады.
Блакаванне першапачатковай наладкі, якога ніхто не плануе
Адзін рэжым збою заслугоўвае асобнага раздзела. Калі адзінае месца, адкуль можна спампаваць профіль, — гэта ўнутраны партал, дасяжны праз тунель, які вы збіраецеся выдаліць, ачыстка памяці стварае тупік без выйсця ў праграме.
Пастаянна ўключаны VPN з опцыяй блакаваць злучэнні без VPN ператварае гэта ў поўнае адключэнне: у тэлефона няма працоўнага шляху да партала, а ў кліента няма профілю, каб падняць тунель. Два станы ўтрымліваюць адно аднаго.
Выйсце працэдурнае, а не тэхнічнае. Экспартуйце або сфатаграфуйце канфігурацыю, пакуль тунель яшчэ працуе, пацвердзіце, што ў партала ёсць маршрут, які не залежыць ад VPN, і толькі потым нешта ачышчайце. На кіраванай прыладзе спытайце адміністратара, які шлях аднаўлення існуе, перш чым чапаць профіль.
Праверце перабудаваны тунель
Пасля вяртання профілю правярайце па парадку: развязанне імёнаў, TCP-злучэнне з вядомым унутраным хостам і паводзіны блакавання пры збоі, на якія вы сапраўды спадзяецеся. Парадак важны, бо тунель можа падняцца і ўсё адно выцякаць DNS.
Значок ключа ў радку стану даказвае, што інтэрфейс існуе, і нічога больш.
Калі злучэнне ўсё яшчэ не ўдаецца пасля мэтанакіраванага скіду, спыніце нарошчваць маштаб аперацыі. Захавайце доказы да і пасля, адзначце, які ўзровень вы ачысцілі, і перадайце справу ўладальніку кампанента разам з тымі пяццю фактамі. Скід да завадскіх налад — асобнае рашэнне з нашмат вышэйшым коштам, і гэта не наступны крок у спісе праверкі VPN.