Allforio VPN Android: beth sy'n trosglwyddo i ffôn newydd mewn gwirionedd
Mae allforio VPN o Android yn anfon gosodiadau ac weithiau allwedd, ond byth yr awdurdodiad dyfais. Gwiriwch beth sy'n symud mewn gwirionedd cyn dileu'r hen ffôn.
Mae allforio proffil VPN o Android yn teimlo fel cam wrth gefn, ac nid yw'r ddewislen sy'n ei gynnig yn gwneud dim i gywiro'r argraff honno. Yr hyn a gewch yw mewnbwn parser, allwedd na fydd y system weithredu o bosibl byth yn ei dychwelyd, ac awdurdodiad a roddwyd i'r ffôn penodol hwnnw. Gwahaniwch y tri hynny ac mae'r cwestiwn defnyddiol yn ymddangos: pa ran sy'n dal ar goll ar y ddyfais newydd?
Y ffeil yw'r rhan hawdd. Mae'r ddau arall yn penderfynu a fydd y mudo yn gweithio.
Beth sydd mewn proffil a allforiwyd mewn gwirionedd
Agorwch y ffeil mewn golygydd testun cyn ymddiried ynddi. Mae proffil OpenVPN yn iaith ffurfweddu fach: remote, proto, data-ciphers, ac yn aml blociau <ca>, <cert>, <key> neu <tls-crypt> mewnol y mae'r cleient yn eu rhoi i'w stac TLS. Mae ffurfweddiad WireGuard yn fwy gwastad, gyda [Interface] yn dal PrivateKey a Address, yna un [Peer] fesul endpoint yn cario PublicKey, AllowedIPs a Endpoint. Daw IKEv2 fel .mobileconfig gyda geiriaduron payload yn lle blociau allwedd.
Nid yw'r un o'r testun hwnnw'n gymhwyster ar ei ben ei hun. Y cymhwyster yw'r allwedd breifat, ac mae pob fformat naill ai'n ei gludo'n fewnol neu'n cyfeirio at lysenw sy'n datrys yn unig y tu mewn i'r cleient a'i creodd.
Lle mae'r allwedd yn byw ar Android mewn gwirionedd
Mae Android yn cadw data ap o dan /data/data/<package>, yn ddarllenadwy gan UID y ap hwnnw yn unig. Nid oes ffordd a gefnogir i gopïo cyfeiriadur preifat ap arall o ffôn heb root, a pheidiodd adb backup â bod yn ateb cyffredinol ar ôl i Android 12 ei ddirymu a chleientiaid ddechrau datgan allowBackup="false". Felly mae allforio o gleient Android yn golygu'r hyn y mae'r cleient hwnnw'n ei weithredu, nid copi o'r system ffeiliau.
Mae'r haen hunaniaeth yn gorwedd o dan y ap. Os mewnforiodd cleient eich allwedd i Android Keystore, mae'r deunydd yn cael ei gynhyrchu neu ei lapio yno, a gall allforion diweddarach gario cyfeiriad at lysenw Keystore yn lle'r beitiau. Mae allweddi â chefnogaeth caledwedd wedi'u hadeiladu fel na all hyd yn oed yr ap sy'n berchen eu darllen, fel y mae Keystore documentation yn ei ddisgrifio, felly mae proffil sy'n pwyntio at y llysenw hwnnw'n mewnforio'n lân ar yr un ffôn ac yn methu ym mhob man arall.
Nid allforiad wedi torri yw hwn. Eiddo y gofynnwyd i'r platfform ei ddarparu yw e.
Beth na all proffil ei gario drosodd
Aliniwch y gwrthrychau yn erbyn yr hyn y bydd cyrchfan yn ei dderbyn:
| Gwrthrych | Yn trosglwyddo? | Pam |
|---|---|---|
| Protocol ac endpoint | Ydy, os yw cleient y gyrchfan yn ei siarad | Testun plaen yn y proffil |
| Tystysgrif CA a gwirio enw gwesteiwr | Fel arfer | Deunydd cyhoeddus, ond rhaid i'r enw gwesteiwr gyd-fynd â'r dystysgrif o hyd |
| Tystysgrif cleient | Ydy, oni bai ei bod wedi'i rhwymo fesul dyfais | Mae tystysgrifau'n gludadwy; y darparwr sy'n penderfynu faint o ddyfeisiau a gaiff ddefnyddio un |
| Allwedd breifat | Dim ond os cafodd ei chynhyrchu y tu allan i Keystore | Ni ellir allforio allweddi â chefnogaeth caledwedd, dim ond eu disodli |
| Cyfrif, MFA, sesiwn SSO | Na | Mae tocynnau'n dod i ben ac yn aros wedi'u rhwymo i'r ddyfais a'u cafodd |
| Llwybrau, DNS ac amrediad apiau | Dim ond fel testun ffurfweddu | Mae Android yn eu cymhwyso wrth gysylltu drwy VpnService.Builder |
| Rhestr apiau tunnell hollt | Yn anaml | Mae enwau pecyn yn wahanol rhwng dyfeisiau, a'r rhestr yw cyflwr y cleient |
Dwy res sy'n achosi'r rhan fwyaf o'r dryswch. Mae allwedd a gynhyrchwyd ar y ddyfais ac a farciwyd yn anallforadwy yn diflannu gyda data'r ap mewn gwirionedd, felly'r disodliad yw allwedd newydd ynghyd â thystysgrif a roddwyd iddi. Mae tocyn sesiwn a gopïwyd i ffôn newydd fel arfer yn marw ar yr adnewyddiad cyntaf, sy'n edrych fel mewnforiad wedi methu.
Mae mewnforio yn broses o ddosrannu, yna'n broses o gydsyniad
Ar yr ochr sy'n derbyn, mae mewnforio yn dosrannu ac yna'n ymrwymo. Mae'r cleient yn darllen y ffurfweddiad, yn gwirio bod pob bloc y cyfeirir ato yn bodoli, yna'n ysgrifennu diffiniad y dwnnel i'w sandbox ei hun, a dyna pam nad y ffeil a ddewiswyd gennych o Lawrlwythiadau yw'r peth sy'n cysylltu wedyn.
Yna daw cam awdurdodi na all unrhyw ffeil ei hepgor. Mae Android yn mynnu bod yr ap yn galw VpnService.prepare() ac yn derbyn eich cydsyniad cyn y caiff sefydlu dwnnel, felly mae proffil newydd ei fewnforio'n dal i ddangos deialog y system unwaith. Yna adeiledir y dwnnel yn benodol drwy addAddress, addRoute, addDnsServer, a addAllowedApplication neu addDisallowedApplication ar gyfer llwybro fesul ap. Nid oes unrhyw un o'r rhain yn cael ei awgrymu gan endpoint, felly gall yr un proffil gynhyrchu set llwybr effeithiol wahanol mewn dau gleient.
Mae setupau sy'n seiliedig ar dystysgrifau yn ychwanegu un fforch arall. Pan fydd y gweinydd yn rhoi tystysgrif i ddyfais benodol, fel y mae MDM a chofrestriad SCEP yn ei wneud, mae ei hailddefnyddio ar ail ffôn naill ai'n gweithio nes i'r gweinydd orfodi un sesiwn fesul hunaniaeth neu'n methu yn y TLS handshake. Gwiriwch bolisi'r darparwr cyn i chi gynllunio i'w hailddefnyddio.
Gwiriwch y ddyfais newydd cyn i chi ymddeol yr hen un
Cadwch yr hen ffôn wedi'i gysylltu nes i'r newydd basio rhywbeth gwell nag eicon gwyrdd. Cadarnhewch y cyfeiriad allan o'r ddyfais newydd a'r datrysiwr DNS a ddefnyddiodd mewn gwirionedd. Os yw split tunneling yn bwysig, lansiwch ap a ddylai osgoi'r dwnnel ac un na ddylai, yna gwelwch pa un sy'n cyrraedd eich ISP.
Mae un prawf yn setlo'r cyfeiriad allan. Agorwch https://ifconfig.me yn porwr y ffôn, yna rhedegwch curl -s https://ifconfig.me o liniadur ar yr un Wi-Fi a chymharwch y ddau ateb â'r cyfeiriad a neilltuwyd gan eich darparwr.
Dim ond wedyn ymddeolwch yr hen hunaniaeth, a'i hymddeol drwy'r darparwr: dirymwch y dystysgrif neu symudwch y ddyfais o'r cyfrif. Nid yw dileu ffeil o Lawrlwythiadau yn gorffen dim, oherwydd mae dau ddyfais sy'n dal yr un dystysgrif yn edrych yn union yr un fath yng nghofnod y gweinydd.
Os daw'r allforiad allan yn anghludadwy, yr ateb yw cofrestriad newydd yn hytrach na bwndel ffurfweddu cyhoeddus. Gofynnwch am broffil ail ddyfais, neu gynhyrchwch y pâr allwedd ar y ffôn newydd a chyflwynwch y CSR; mae'n arafach, a dyna'r llwybr y mae'r darparwr yn ei gefnogi.
Rhedwch y rhestr wirio cyn i chi ddileu unrhyw beth: mae'r ddyfais newydd yn cysylltu, mae'r cyfeiriad allan a'r DNS yn cyd-fynd, mae amrediad fesul ap fel y bwriadwyd, mae'r hen hunaniaeth wedi'i dirymu, ac mae unrhyw ffeil ffurfweddu a gadwyd gennych mewn storfa wedi'i hamgryptio.