Android VPN-eksporto: kio vere transiĝas al nova telefono
Android VPN-eksporto sendas agordojn kaj foje ŝlosilon, sed neniam la aparatan rajtigon. Kontrolu, kio vere transiĝas, antaŭ ol vi forviŝos la malnovan telefonon.
Eksporti VPN-profilo el Android aspektas kiel sekurkopia paŝo, kaj la menuo, kiu ofertas ĝin, faras nenion por korekti tiun impreson. Tio, kun kio vi foriras, estas enigo por analizilo, ŝlosilo, kiun la operaciumo eble neniam redonos, kaj rajtigo eldonita al ĝuste tiu telefono. Apartigu tiujn tri kaj aperas la utila demando: kiu peco ankoraŭ mankas sur la nova aparato?
La dosiero estas la facila parto. La aliaj du decidas, ĉu la migrado funkcios.
Kion eksportita profilo vere enhavas
Malfermu la dosieron en teksta redaktilo antaŭ ol fidi ĝin. OpenVPN-profillo estas malgranda agorda lingvo: remote, proto, data-ciphers kaj ofte enliniaj blokoj <ca>, <cert>, <key> aŭ <tls-crypt>, kiujn la kliento transdonas al sia TLS-stako. WireGuard-agordo estas pli plata: [Interface] tenas PrivateKey kaj Address, poste unu [Peer] por ĉiu finpunkto portanta PublicKey, AllowedIPs kaj Endpoint. IKEv2 venas kiel .mobileconfig kun utilecaj vortaroj anstataŭ ŝlosilaj blokoj.
Neniu el tiu teksto estas legitimilo per si mem. La legitimilo estas la privata ŝlosilo, kaj ĉiu formato aŭ enmetas ĝin ene aŭ montras al kaŝnomo, kiu solviĝas nur ene de la kliento, kiu kreis ĝin.
Kie la ŝlosilo vere loĝas en Android
Android tenas apajn datumojn sub /data/data/<package>, legeblaj nur de la UID de tiu apo. Ekzistas neniu subtenata maniero kopii privatan dosierujon de alia apo el telefono sen radiko, kaj adb backup ĉesis esti ĝenerala respondo post kiam Android 12 malaktualigis ĝin kaj klientoj komencis deklari allowBackup="false". Do eksporto el Android-kliento signifas tion, kion tiu kliento efektivigas, ne kopion de la dosiersistemo.
La identeca tavolo sidas sub la apo. Se kliento importis vian ŝlosilon en Android Keystore, la materialo estas generata aŭ envolvita tie, kaj postaj eksportoj povas porti referencon al Keystore-kaŝnomo anstataŭ la bitokojn. Hardvare-subtenataj ŝlosiloj estas konstruitaj tiel, ke eĉ la posedanta apo ne povas ellegi ilin, kiel priskribas Keystore documentation, do profilo montranta al tiu kaŝnomo importiĝas pure sur la sama telefono kaj malsukcesas ĉie aliloke.
Tio ne estas rompita eksporto. Ĝi estas la eco, kiun oni petis de la platformo.
Kion profilo ne povas transigi
Komparu la objektojn kun tio, kion celloko akceptos:
| Objekto | Ĉu transiĝas? | Kial |
|---|---|---|
| Protokolo kaj finpunkto | Jes, se la celloka kliento subtenas ĝin | Plata teksto en la profilo |
| CA-atestilo kaj gastigantnoma kontrolo | Kutime | Publika materialo, sed la gastigantnomo ankoraŭ devas kongrui kun la atestilo |
| Klienta atestilo | Jes, krom se ĝi estas ligita po aparato | Atestiloj estas porteblaj; la eldoninto decidas, kiom da aparatoj rajtas uzi unu |
| Privata ŝlosilo | Nur se generita ekster Keystore | Hardvare-subtenataj ŝlosiloj ne estas eksporteblaj, nur anstataŭigeblaj |
| Konto, MFA, SSO-seanco | Ne | Ĵetonoj eksvalidiĝas kaj restas ligitaj al la aparato, kiu akiris ilin |
| Itineroj, DNS kaj apa amplekso | Nur kiel agorda teksto | Android aplikas ilin dum konekto per VpnService.Builder |
| Listo de apoj por dividita tunelo | Malofte | Pakaĵnomoj diferencas inter aparatoj, kaj la listo estas klienta stato |
Du vicoj kaŭzas la plej grandan konfuzon. Ŝlosilo generita sur la aparato kaj markita kiel ne-eksportebla vere malaperas kun la apaj datumoj, do la anstataŭo estas nova ŝlosilo plus atestilo eldonita por ĝi. Seanca ĵetono kopiita al nova telefono kutime mortas ĉe la unua refreŝigo, kio aspektas kiel malsukcesa importo.
Importo estas analizo, poste konsenta prompto
Ĉe la riceva flanko, importo estas analizo sekvata de fikso. La kliento legas la agordon, kontrolas ke ĉiu referencita bloko ekzistas, poste skribas la tunelan difinon en sian propran sablujon, kaj tial la dosiero, kiun vi elektis el Elŝutoj, ne estas tio, kio konektiĝas poste.
Poste venas rajtiga paŝo, kiun neniu dosiero povas preterpasi. Android postulas, ke la apo voku VpnService.prepare() kaj ricevu vian konsenton antaŭ ol ĝi rajtas starigi tunelon, do ĵus importita profilo ankoraŭ montras la sisteman dialogon unufoje. Poste la tunelo estas konstruata eksplicite per addAddress, addRoute, addDnsServer kaj addAllowedApplication aŭ addDisallowedApplication por en-apa enkursigo. Neniu el tiuj estas implicita de finpunkto, do la sama profilo povas produkti malsaman efektivan itineraron en du klientoj.
Atestilaj agordoj aldonas ankoraŭ unu forkon. Kiam la servilo eldonas atestilon al specifa aparato, kiel faras MDM kaj SCEP-aliĝo, reuzo sur dua telefono aŭ funkcias ĝis la servilo trudas unu seancon por identeco aŭ malsukcesas ĉe la TLS-manpremo. Kontrolu la politikon de la eldoninto antaŭ ol plani reuzon.
Kontrolu la novan aparaton antaŭ ol retiri la malnovan
Tenu la malnovan telefonon konektita ĝis la nova trapasos ion pli bonan ol verda ikono. Konfirmu la eliran adreson de la nova aparato kaj la DNS-risolvilon, kiun ĝi vere uzis. Se split tunneling gravas, lanĉu Apon, kiu devus preterpasi la tunelon, kaj unu, kiu ne devus, kaj vidu, kiu atingas vian ISProvizanton.
Unu kontrolo solvas la eliran adreson. Malfermu https://ifconfig.me en la telefona retumilo, poste rulu curl -s https://ifconfig.me el tekkomputilo en la sama Wi-Fi kaj komparu ambaŭ respondojn kun la adreso, kiun via provizanto atribuis.
Nur tiam retiru la malnovan identecon, kaj retiru ĝin per la eldoninto: revoku la atestilon aŭ forigu la aparaton el la konto. Forigi dosieron el Elŝutoj finas nenion, ĉar du aparatoj tenantaj la saman atestilon aspektas identaj en la servila protokolo.
Se la eksporto montriĝas neportebla, la solvo estas nova aliĝo anstataŭ publika agorda pakaĵo. Petu profilon por dua aparato, aŭ generu la ŝlosilparon sur la nova telefono kaj sendu la CSR; pli malrapide, kaj ĝi estas la vojo, kiun la eldoninto subtenas.
Rulu la kontrol-liston antaŭ ol forigi ion: nova aparato konektiĝas, elira adreso kaj DNS kongruas, en-apa amplekso estas kiel vi intencis, malnova identeco estas revokita, kaj ajna agorda dosiero, kiun vi konservis, troviĝas en ĉifrita konservejo.