Cleient VPN cludadwy heb hawliau gweinyddwr: beth sy'n dal i dorri

Mae cludadwy yn disgrifio'r gosodwr, nid y cnewyllyn. Gall cleient gyrraedd fel un ffeil weithredadwy ar ffon USB a dal angen dyfais tiwnel, cofnod yn nhabl y llwybrau ac ysgrifeniad i'r datryswr cyn i'r pecyn cyntaf symud. Pa un o'r tri hynny y bydd y peiriant targed yn gadael i chi ei gyffwrdd sy'n penderfynu a yw'r adeiladwaith hwnnw'n gweithio yno o gwbl. Mae'r profion isod yn ateb y cwestiwn yn y drefn y bydd y cleient yn dod ar eu traws.

Mae cludadwy yn cwmpasu tri addewid gwahanol, a dim ond un sy'n rhad ac am ddim

Dim gosodwr sy'n golygu na chofrestrodd y gwerthwr wasanaeth, na chyflwynodd ddadosodwr ac na ychwanegodd gofnod dewislen. Dim gweinyddwr sy'n golygu y gall cyfrif cyffredin gychwyn y cleient a chwblhau cysylltiad. Dim newid i'r gwesteiwr sy'n golygu bod y peiriant yr un fath ar ôl i chi adael. Mae tudalennau lawrlwytho sy'n dweud cludadwy fel arfer yn addo dim ond y cyntaf o'r rheini, a'r ddau arall yw'r lle y mae defnyddiadau'n methu. Gall adeiladwaith fod yn gludadwy yn yr ystyr gul hefyd: mae'n rhedeg o gyfrwng darllen yn unig heb unrhyw ysgrifeniadau ffeil dot o gwbl, ac eto nid yw hynny'n dweud dim am y pentwr rhwydwaith.

Yr addewidion drud yw'r ail a'r trydydd. Mae un ffeil weithredadwy sydd angen addasydd, llwybr neu ysgrifeniad i'r datryswr yn gofyn i'r system weithredu am awdurdod na chwmpaswyd erioed gan y label cludadwy.

Dewch o hyd i'r cynorthwyydd breintiedig y bydd y cleient yn ei alw

Mae bron unrhyw gleient VPN yn symud pecynnau ar ei ben ei hun. Ar Windows mae llwybr y data'n mynd trwy hidlwyr WFP a'r Base Filtering Engine, ar macOS trwy ddarparwr NetworkExtension y mae'r defnyddiwr yn ei gymeradwyo yn Gosodiadau'r System, ac ar Linux trwy ddyfais tun ynghyd â'r pentwr llwybro. Mae'r deuaidd a gopïoch yn arwyneb rheoli ar gyfer y cydrannau hynny, nid yn ddewis arall iddynt. Gofynnwch ba gydran y mae'r cleient yn ei disgwyl, yna cadarnhewch ei fod wedi'i osod, yn rhedeg ac yn ddefnyddiadwy gan eich cyfrif.

Linux yw'r lle hawsaf i brofi'r pwynt oherwydd un alwad system yw'r gwiriad. Mae agor /dev/net/tun a gofyn i'r cnewyllyn am ddyfais yn gofyn am CAP_NET_ADMIN, ac mae'r dogfennaeth cnewyllyn TUN/TAP yn nodi'r rheol berchnogaeth a'r gallu ill dau. Rhedewch y prawf fel y cyfrif a fydd yn lansio'r cleient, nid fel root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Gwall caniatâd ar y llinell ganol yw'r ateb roeddech yn chwilio amdano: ni all y cyfrif hwn greu rhyngwyneb tiwnel, felly mae unrhyw gleient gofod defnyddiwr sydd angen un yn methu wrth gysylltu, nid wrth lawrlwytho. Mae'r llinell olaf yn tynnu'r ddyfais brawf ac yn argraffu dim pan fydd yn gweithio. Os bydd y ddwy linell yn llwyddo, nid yw'r gwesteiwr wedi newid dim yn barhaol.

Profwch newidiadau llwybr a datryswr cyn y cysylltiad cyntaf

Mae tiwnelu hollt yn troi cysylltiad yn benderfyniad llwybro, tra mae tiwnel llawn yn ei droi'n ddisodliad o'r llwybr diofyn. Mae'r ddau yn ysgrifeniadau i bentwr rhwydwaith y gwesteiwr, ac mae'r ddau yn methu i gyfrif heb fraint hyd yn oed pan fydd y cleient ei hun yn cychwyn yn lân. Y datryswr yw'r trydydd ysgrifeniad, ac ar westeiwyr systemd fel arfer hwnnw yw'r un sy'n torri olaf. Mae'r drefn honno'n bwysig pan fyddwch yn penderfynu ble i wario gosodiad uchel ei fraint.

Mae prawf llwybr angen cyrchfan rydych chi wir yn poeni amdani, felly rhoddwch is-rwydwaith o'ch proffil eich hun yn lle'r deiliad lle isod. Rhaid i enw'r ddyfais fodoli er mwyn i'r llwybr gysylltu â rhywbeth.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Mae'r llinell gyntaf yn dychwelyd RTNETLINK answers: Operation not permitted yn golygu na all y cyfrif osod y llwybr preifat y mae'r proffil yn ei ofyn. Mae'r ail linell yn profi'r un hawl i'r gwrthwyneb, sy'n bwysig oherwydd mae cleient sy'n gallu ychwanegu llwybrau ond nid eu tynnu yn gadael tabl toredig ar ei ôl. Yna mae'r ymholiad i'r datryswr yn dangos a yw enwau preifat yn datrys trwy'r tiwnel neu'n gollwng i ba bynnag ddatryswr y mae'r gwesteiwr eisoes yn ymddiried ynddo.

Rhedewch y tri i gyd tra bo'r ddyfais brawf yn dal i fodoli, yna ei dileu. Llwybr sy'n pwyntio at ddyfais sydd wedi mynd yw'r rheswm mwyaf cyffredin dros i liniadur golli cysylltedd ar ôl cysylltiad aflwyddiannus.

Penderfynwch beth sy'n rhaid iddo oroesi'r sesiwn

Nid yw dileu'r ffolder yn gynllun glanhau. Gall addasyddion, llwybrau, gosodiadau datryswr, tystysgrifau ymddiriededig a chrediliau storio oroesi'r broses bob un, a gall gwasanaeth ar amser cychwyn adfer rhai ohonynt heb ofyn. Ysgrifennwch beth y caniateir i'r cleient ei adael ar ei ôl cyn i chi ei redeg, nid ar ôl y datgysylltiad aflwyddiannus cyntaf.

Y rheol ymarferol yw cymryd ciplun o'r tri arwyneb rydych ar fin eu newid a'u cymharu wedyn. Cofnodwch ryngwynebau, y prif dabl llwybro a chyflwr y datryswr cyn y cysylltiad cyntaf, yna ailadroddwch yr un tri darlleniad unwaith y bydd y cleient wedi gadael.

ip -brief addr show
ip route show table main
resolvectl status

Mae unrhyw beth sy'n bresennol yn yr ail gipiad ac yn absennol o'r cyntaf angen perchennog. Naill ai mae'r cleient yn ei dynnu wrth adael, neu rydych chi'n ei dynnu gyda'r un gorchmynion a'i creodd, ac mae'r tynnu hwnnw'n perthyn i'r nodiadau defnyddio yn hytrach nag i gof rhywun o'r hyn a ddigwyddodd. Ar Windows y darlleniadau cyfatebol yw Get-NetAdapter, Get-NetRoute a Get-DnsClientServerAddress, nad oes arnynt angen dyrchafiad ond sy'n dangos yr un gweddillion.