Androidi VPN-profiil: leidke omanik enne redigeerimist

Androidi VPN-ekraan näitab ühte rida nime, võtmeikooni ja võib-olla alati-ühendatud lülitiga. See näitab harva lõpp-punkti, marsruudipoliitikat, DNS-serverid või mandaate, mis ühenduse tööle panevad, sest rakendusepõhises tunnelis kuuluvad need rakendusele. Praktiline tagajärg on runbooki küsimus, mitte filosoofiline: enne allalaaditud faili redigeerimist või keskse profiilihoidla otsimist tehke kindlaks, milline komponent omab seadet, mida soovite muuta.

Tehke kõigepealt kindlaks ühenduse tüüp

Samal seadete ekraanil on vähemalt kolm lahendust. Rakendus võib kasutada VpnService-i virtuaalliidese loomiseks ning protokolli ja privaatse konfiguratsiooni omamiseks, sealhulgas kohalik filtreeriv rakendus ilma kaugväljundita. Android saab ka platvormi IKEv2-profiili luua Ikev2VpnProfile kaudu, mis on saadaval alates API 30, kus platvorm hoiab suuremat osa profiilist. Ja pakkuja rakendus võib esitada oma serverinimekirja ning koostada seaded sisemiselt.

adb shell dumpsys connectivity | grep -i -A12 "VPN"
adb shell cmd connectivity list-owners 2>/dev/null || true

Esimene käsk näitab aktiivset VPN-võrku ja selle lingi omadusi, mis on rakendatud olek. Kui rida nimetab paketti, mida tunnete, alustage selle rakenduse enda profiilivaatest, mitte süsteemi ekraanilt.

Kirjutage üles omanik ja profiili ulatus

Enne millegi muutmist kirjutage üles neli fakti: omav pakett, kas ühendus asub isiklikus või tööprofiilis, profiili või ühenduse nimi nii, nagu rakendus seda näitab, ja kes seda haldab. Seadme omanik saab luua tööprofiili VPN-i, mida isikliku profiili kasutaja redigeerida ei saa, ja sama rakendus kaks korda paigaldatuna annab teile kaks sõltumatut omanikku.

See samm hoiab ära kõige tavalisema raisatud tunni, milleks on profiili redigeerimine, mis ei ole ühendatud profiil. Rakendused hoiavad sageli mitut profiili ja aktiivne on rakenduse, mitte Androidi rea omadus.

Võrrelge taotletud, saadud ja rakendatud olekut

Need on kolm erinevat etappi ja nendevaheline lahknevus ütleb, millist komponenti parandada.

Rakendatud etapp on see, mida saate jälgida ilma kellegi logi usaldamata. Võrrelge aktiivse lingi omaduste DNS-servereid ja marsruute nendega, mida profiil väidab; kui need erinevad, saatis server midagi või rakendas rakendus poliitikat, mida te ei oodanud.

adb shell ip addr show tun0
adb shell ip route show table all | head -40

Liidesenimed erinevad rakenduste vahel, seega loetlege esmalt liidesed ja lugege seda, mis ilmus tunneli ühendamisel. Marsruut, mis on rakenduse redaktoris, kuid siin puudub, ei ole kunagi rakendatud; marsruut, mis on siin, kuid puudub redaktoris, tuli mujalt.

Redigeerige artefakti, mida omanik tegelikult loeb

Imporditud OpenVPN-profiili puhul hoiab rakendus tavaliselt oma koopiat. Algselt allalaaditud faili hilisem redigeerimine ei muuda järgmist ühendust; kasutage rakenduse dokumenteeritud redaktorit või importige uuesti ja kinnitage, milline profiil on nüüd aktiivne. See on vahe faili muutmise ja konfiguratsiooni muutmise vahel.

Pakkuja rakendused koostavad seaded sageli serverinimekirjast, selle asemel et kirjutada kasutaja redigeeritav fail. Ekspordi nupu puudumine ei tõesta, et VPN on võlts, ja eksporditud fail võib jätta välja seadmega seotud võtmed või registreerimismaterjali, mida teine seade vajaks. Käsitlege eksporti ja importi eraldi toimingutena, millel on oma eeldused.

Kirjutage tugimärkus salajasest teavet paljastamata

Kasulik märkus nimetab täpse rakenduse ja profiili, vale näiva seade ja tõendid igast etapist. Näiteks: see profiil saab serverilt privaatse DNS-aadressi, kuid kavandatud töörakendus ei suuda oma teenust lahendada ning rakendatud lingi omadused näitavad seda resolverit, samal ajal kui profiili redaktor näitab teist.

Hoidke mandaadid märkusest väljas. Omaniku tuvastamiseks ei ole vaja seadet rootida, et otsida rakenduse privaatsest hoidlast, ja oletatud andmekataloogi tee ei ole toetatud liides. Kui vastus vajab baite, mida näeb ainult rakendus, paluge omanikul diagnostiline eksport, mitte ärge improviseerige seda.

Kui töö on tehtud, sulgege ring: kinnitage aktiivse profiili nimi, lugege rakendatud olek uuesti ja katkestage üks kord, et kontrollida, kas muudatus peab uuesti ühendamisele vastu. Seade, mis on ainult redaktoris, ei ole juurutatud.