Awtomeiddio L2TP ar Android: gall sgript ofyn amdano, nid ei greu

Y myth yw bod L2TP ar Android yn un peth arall y gall sgript shell ei gychwyn: ychwanegu llwybr, galw'r hen wasanaeth, a gorffen. Ni all fod felly, oherwydd rhaid i bedair haen wahanol gytuno cyn i dwnnel gludo pecyn. Mae'r haen IPsec yn diogelu'r llwybr, mae L2TP yn cludo'r sesiwn, mae PPP yn negodi'r cysylltiad, ac mae'n rhaid i Android gofrestru'r canlyniad fel VPN y gall lwybio o'i gwmpas. Rwyf wedi gweld hyn yn cael ei geisio ddwywaith gyda chomandau wedi'u copïo, ac yn y ddau achos roedd y llwybr yn bodoli tra nad oedd dim yn cael ei amgryptio.

Beth mae newid llwybr yn ei gyflawni mewn gwirionedd

Mae ychwanegu llwybr yn penderfynu i ble mae pecyn yn mynd nesaf. Nid yw'n negodi cymdeithas ddiogelwch, nid yw'n agor sesiwn L2TP, ac nid yw'n rhedeg y cyfnewid PPP sy'n cynhyrchu cyfeiriad, cymar a gosodiadau DNS. Ar ffôn, y canlyniad gweladwy yw traffig sy'n gadael ar y llwybr anghywir, neu'n gadael ac yn marw, heb unrhyw gyflwr twnnel yn unman.

Mae'r un peth yn wir am alwad gwasanaeth a gopïwyd o ryddhau hŷn. Nid yw plymio VPN mewnol Android yn API awtomeiddio cyhoeddedig, a gall trafodiad rhifedig o fersiwn arall daro gweithrediad gwahanol neu fod angen braint nad yw'r sgript yn ei chael. Ni ddylai awtomeiddio sy'n cario cyfrinair ddibynnu ar ddadleuon mewnol sy'n cael eu dyfalu, oherwydd y dull methiant yw naill ai no-op tawel neu broffil hanner-grëwyd nad oes neb yn ei lanhau.

Pedwar perchennog, a'r sgript yw'r un ohonynt

Cymerwch nhw mewn trefn. Mae IPsec yn sefydlu ac yn cynnal y llwybr gwarchodedig ac yn dilysu'r cymheiriaid. Mae L2TP yn cludo'r sesiwn drosto, a'r haenu yw'r rheswm y mae'r safon yn eu trin fel mecanweithiau ar wahân yn hytrach nag un protocol. Y tu mewn i hynny, mae PPP yn negodi'r paramedrau cysylltiad y bydd'r cleient yn eu defnyddio. Yna mae Android yn berchen ar yr ochr blatfform: y rhyngwyneb VPN cofrestredig, cwmpas fesul ap, cyflwr always-on a'r cylch bywyd sy'n penderfynu beth sy'n digwydd pan lleddir yr ap.

Gall sgript weld dim ond yr olaf o'r haenau hynny, ac fel arfer yn anuniongyrchol. Gall ofyn i gleient gysylltu os yw'r cleient hwnnw'n datgelu rheolaeth ddogfennedig, a gall wylio cyflwr y rhyngwyneb wedyn. Ni all ddisodli'r tair haen oddi tano, ac ni all wneud i'r platfform drin rhyngwyneb heb ei gofrestru fel VPN.

Pam nad yw daemon yn llwybr byr chwaith

Mae cychwyn daemon Linux breintiedig ar y ddyfais yn edrych fel y darn coll, ac yn aml mae'n codi twnnel. Yr hyn nad yw'n ei wneud yw cofrestru'r twnnel hwnnw gydag Android. Mae'r rhyngwyneb yn bodoli y tu mewn i'r cnewyllyn, ond nid yw dewis VPN y platfform, llwybio fesul ap, polisi always-on a'r cylch bywyd yn gwybod amdano, ac mae newidiadau llwybr a DNS y daemon ei hun yn cystadlu â'r rheolwr rhwydwaith am yr un tablau.

Y canlyniad yw cysylltiad sy'n gweithio i draffig y daemon ac yn rhyfeddol ddim yn gweithio i'r ap oedd o bwys i chi, neu un sy'n goroesi nes bod y system yn ailasesu ei rhwydweithiau. Nid yw'r naill na'r llall yn fyg platfform; y ffin yw rhwng perchnogi soced a pherchnogi'r cyfleuster VPN.

Sut olwg sydd ar y llwybrau a gefnogir

Os gall y sefydliad symud i broffil y mae Android yn ei ddarparu ei hun, y llwybr platfform yw'r un gonest. O API 30 ymlaen, mae VpnManager yn cefnogi darparu a rheoli proffiliau VPN platfform, gyda llif awdurdodi ynghlwm wrth yr ap sy'n galw. Nid yw'n drawsnewidydd L2TP: nid yw'r model proffil a ddarperir ar gyfer IKEv2 yn trosi ffurfweddiad L2TP sy'n bodoli eisoes, ac mae symud protocol yn ymfudo, nid yn ailenwi. Rhaid cario hunaniaethau, llwybrau, DNS preifat a chaniatadau mynediad ar draws yn fwriadol.

Os oes rhaid i'r gwasanaeth aros yn L2TP/IPsec, y cyfuniad a gefnogir yw cleient a rhyddhau OS y mae'r gweithredwr yn eu dogfennu mewn gwirionedd, a'i gontract awtomeiddio os yw'n bodoli. Pan nad oes rheolaeth ddiamod ddogfennedig, yr ateb cywir yw cysylltiad â llaw a gefnogir yn hytrach na sgript freintiedig fregus sy'n digwydd gweithio ar un adeiladwaith.

Beth mae awtomeiddio cywir yn ei wneud

Dado rheolaeth ddogfennedig, mae gan yr awtomeiddio swydd fach amddiffynadwy: gofyn am y cysylltiad a enwyd, aros am barodrwydd, stopio ar fethiant dilysu neu sefydlu, rhedeg y llwyth gwaith a fwriadwyd, a gadael y glanhau i'r gydran sy'n berchen ar y cysylltiad. Mae tystlythyrau'n aros gyda'r cleient sy'n gwybod sut i'w storio a'u cylchdroi.

Nodwch pa gydran sy'n berchen ar bob haen cyn i chi ysgrifennu'r llinell gyntaf, a gwiriwch y canlyniad yn ei herbyn:

• Mae IPsec a PPP yn cael eu trin gan y cleient, nid gan lwybrau'r sgript.
• Mae'r cysylltiad yn ymddangos yng nghyflwr VPN y platfform, felly mae cwmpas fesul ap ac always-on yn berthnasol iddo.
• Nid oes galwad gwasanaeth mewnol, rhif trafodiad nac ymresymiad wedi'i ddyfalu yn cario tystlythyrau.
• Nid yw methiant ar unrhyw gam yn gadael proffil hanner-cofrestredig ar ôl.