Android VPN esportazioa: zer pasatzen den benetan telefono berri batera

Androidetik VPN profila esportatzeak segurtasun-kopia urrats ematen du, eta hori eskaintzen duen menuak ez du ezer egiten inpresio hori zuzentzeko. Eramaten duzuna parser sarrera bat, sistema eragileak inoiz itzul dezakeen gako bat eta telefono zehatz horri emandako baimen bat dira. Bereizi hiru horiek eta galdera erabilgarria agertzen da: zer pieza falta da oraindik gailu berrian?

Fitxategia da zati erraza. Beste biek erabakitzen dute migrazioa funtzionatuko duen.

Zer dauka benetan esportatutako profilek

Ireki fitxategia testu-editore batean fidatu aurretik. OpenVPN profila konfigurazio-hizkuntza txiki bat da: remote, proto, data-ciphers eta askotan <ca>, <cert>, <key> edo <tls-crypt> bloke lerrokatuak, bezeroak bere TLS pilari ematen dizkionak. WireGuard konfigurazioa lauagoa da: [Interface]-k PrivateKey eta Address ditu, gero [Peer] bat mutur bakoitzeko, PublicKey, AllowedIPs eta Endpoint daramatzana. IKEv2 .mobileconfig gisa iristen da, gako-blokeen ordez karga-hiztegiak dituena.

Testu horietako bat ere ez da kredentzial bat bere horretan. Kredentziala gako pribatua da, eta formatu bakoitzak barruan itsasten du edo sortu zuen bezeroaren barruan bakarrik ebazten den alias batera seinalatzen du.

Non bizi da gakoa Androideko

Androidek aplikazioen datuak /data/data/<package> azpian gordetzen ditu, aplikazio horren UIDak bakarrik irakur ditzakeena. Ez dago rootik gabeko telefono batetik beste aplikazio baten direktorio pribatua kopiatzeko modu onarturik, eta adb backup ez zen erantzun orokorra izateari utzi Android 12k indargabetu eta bezeroek allowBackup="false" deklaratzen hasi zirenean. Beraz, Android bezero batetik egindako esportazioak bezero horrek inplementatzen duena esan nahi du, ez fitxategi-sistemaren kopia bat.

Identitate-geruza aplikazioaren azpian dago. Bezero batek zure gakoa Android Keystorera inportatu badu, materiala han sortzen edo biltzen da, eta geroagoko esportazioek Keystore alias baterako erreferentzia eraman dezakete byteen ordez. Hardwareak babestutako gakoak hala eraikiak daude ezen jabe den aplikazioak ere ezin dituen irakurri, Keystore documentation-k deskribatzen duen bezala, beraz alias horri seinalatzen dion profila ondo inportatzen da telefono berean eta beste leku guztietan huts egiten du.

Hori ez da esportazio hautsia. Plataformari eskatu zitzaion propietatea da.

Zer ezin duen profilek eraman

Jarri objektuak helmugak onartuko duenaren aurka:

Bi errenkadek sortzen dute nahasmen handiena. Gailuan sortu eta esportaezina markatutako gakoa benetan desagertzen da aplikazioaren datuekin, beraz ordezkoa gako berri bat eta hartarako emandako ziurtagiri bat da. Telefono berrira kopiatutako saio-tokena normalean lehen freskatzean hiltzen da, eta hori inportazio huts gisa irakurtzen da.

Inportazioa analisi bat da, eta gero baimen-eskaera bat

Hartzailearen aldean, inportazioa analisi bat da, eta gero konfirmazio bat. Bezeroak konfigurazioa irakurtzen du, erreferentziatutako bloke bakoitza badagoela egiaztatzen du, eta gero tunelaren definizioa bere sandboxean idazten du, eta horregatik Deskargak-etik aukeratu duzun fitxategia ez da geroago konektatzen dena.

Gero baimen-urrats bat dator, inongo fitxategik saihestu ezin duena. Androidek eskatzen du aplikazioak VpnService.prepare() deitu eta zure baimena jaso dezan tunel bat ezarri aurretik, beraz inportatu berri den profilek sistemaren elkarrizketa erakusten du oraindik behin. Gero tunela esplizituki eraikitzen da addAddress, addRoute, addDnsServer eta addAllowedApplication edo addDisallowedApplication bidez aplikazioko bideratzerako. Horietako bat ere ez dator mutur batetik, beraz profile berak bide-multzo eraginkor desberdina sor dezake bi bezerotan.

Ziurtagirietan oinarritutako konfigurazioek beste adar bat gehitzen dute. Zerbitzariak gailu zehatz bati ziurtagiria ematen dionean, MDM eta SCEP izen-emateak egiten duten bezala, bigarren telefonoan berrerabiltzeak edo funtzionatzen du zerbitzariak identitate bakoitzeko saio bat inposatu arte, edo TLS esku-ematean huts egiten du. Egiaztatu igorlearen politika berrerabiltzea planifikatu aurretik.

Egiaztatu gailu berria zaharra erretiratu aurretik

Eduki telefono zaharra konektatuta berriak ikono berde bat baino zerbait hobea gainditu arte. Egiaztatu irteera-helbidea gailu berritik eta benetan erabili duen DNS ebazlea. split tunneling garrantzitsua bada, abiarazi tunela saihestu beharko lukeen aplikazio bat eta ez lukeen beste bat, eta ikusi zein iristen den zure hornitzailera.

Egiaztapen batek argitzen du irteera-helbidea. Ireki https://ifconfig.me telefonoaren nabigatzailean, gero exekutatu curl -s https://ifconfig.me Wi-Fi berean dagoen ordenagailu eramangarri batetik eta alderatu bi erantzunak hornitzailak esleitutako helbidearekin.

Orduan bakarrik erretiratu identitate zaharra, eta egin igorlearen bidez: ezeztatu ziurtagiria edo kendu gailua kontutik. Deskargak-etik fitxategi bat ezabatzeak ez du ezer amaitzen, ziurtagiri bera duten bi gailuk berdinak diruditelako zerbitzariaren erregistroan.

Esportazioa eramanezina gertatzen bada, irtenbidea izen-emate berria da, ez konfigurazio-pakete publikoa. Eskatu bigarren gailu baterako profila, edo sortu gako-parea telefono berrian eta bidali CSR; motelagoa da, eta igorleak onartzen duen bidea da.

Pasatu kontrol-zerrenda ezer ezabatu aurretik: gailu berria konektatzen da, irteera-helbidea eta DNS bat datoz, aplikazioko esparrua nahi zenuena da, identitate zaharra ezeztatuta dago, eta gorde duzun konfigurazio-fitxategi oro biltegiratze zifratuan dago.