Administratzaile-eskubiderik gabeko VPN bezero eramangarria: zer hausten den oraindik

Eramangarriak instalatzailea deskribatzen du, ez kernela. Bezero bat USB memorian exekutagarri bakarra gisa irits daiteke eta oraindik tunel gailu bat, ibilbide-taulako sarrera bat eta resolverreko idazketa bat behar ditu lehen paketea mugitu aurretik. Hiru horietatik zein ukitzen utziko dizun helburuko makinak erabakitzen du eraikuntza horrek han funtzionatzen duen ala ez. Beheko probei galderari erantzuten diote bezeroak haiek topatuko dituen ordenan.

Eramangarriak hiru promes desberdin biltzen ditu, eta bakarra da doakoa

Instalatzailerik ezak esan nahi du hornitzaileak ez zuela zerbitzurik erregistratu, ez zuela desinstalatzailek bidali eta ez zuela menuko sarrerarik gehitu. Administratzailerik ezak esan nahi du kontu arrunt batek bezeroa hasi eta konexioa amaitu dezakeela. Ostalari-aldaketarik ezak esan nahi du makinak berdin dirudiela irten ondoren. Eramangarria esaten duten deskarga-orriek normalean horietatik lehena baino ez dute agintzen, eta beste biak dira inplementazioak huts egiten duen tokia. Eraikuntza bat eramangarria izan daiteke zentzu hertsian ere: irakurtzeko soilik den euskarritik exekutatzen da puntu-fitxategien idazketarik gabe, eta horrek oraindik ezer esaten ez du sare-pilari buruz.

Promesa garestiak bigarrena eta hirugarrena dira. Adaptadore bat, ibilbide bat edo resolverreko idazketa bat behar duen exekutagarri bakar batek sistema eragileari eramangarri etiketak inoiz estali ez zuen autoritatea eskatzen dio.

Aurkitu bezeroak deituko duen laguntzaile pribilegiatua

Ia VPN bezerorik ez da paketeak bere kabuz mugitzen. Windowsen datu-bidea WFP iragazkietatik eta Base Filtering Engine-tik doa, macOSen erabiltzaileak Sistemaren ezarpenetan onartzen duen NetworkExtension hornitzaile batetik, eta Linuxen tun gailu batetik eta bideratze-pilatik. Kopiatu duzun binarioa osagai horien kontrol-azalera da, ez haien ordezkoa. Galdetu zein osagai espero duen bezeroak, eta egiaztatu instalatuta dagoela, martxan dagoela eta zure kontuak erabil dezakeela.

Linux da hori frogatzeko lekurik errazena, egiaztapena sistema-dei bakarra delako. /dev/net/tun irekitzeak eta kernelari gailu bat eskatzeak CAP_NET_ADMIN behar du, eta kernelaren TUN/TAP dokumentazioa jabetza-araua eta gaitasuna biak adierazten ditu. Exekutatu proba bezeroa abiaraziko duen kontuarekin, ez root gisa.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Erdiko lerroko baimen-errorea bilatzen zenuen erantzuna da: kontu honek ezin du tunel interfaze bat sortu, beraz bat behar duen erabiltzaile-espazioko edozein bezerok huts egiten du konektatzean, ez deskargatzean. Azken lerroak proba-gailua kentzen du eta ez du ezer inprimatzen funtzionatzen duenean. Bi lerroek arrakasta badute, ostalariak ez du ezer aldatu modu iraunkorrean.

Probatu ibilbide- eta resolver-aldaketak lehen konexioaren aurretik

Tunel zatituak konexioa bideratze-erabaki bihurtzen du, tunel osoak berriz defektuzko ibilbidearen ordezkapen bihurtzen du. Biak ostalariaren sare-pilako idazketak dira, eta biak huts egiten dute pribilegiorik gabeko kontu baterako, bezeroa bera garbi hasten denean ere. Resolverra hirugarren idazketa da, eta systemd ostalarietan normalean azken hautsi ohi da. Ordena hori garrantzitsua da instalazio pribilegiatu bat non gastatu erabakitzean.

Ibilbide-proba batek benetan axola zaizun helmuga bat behar du, beraz ordezkatu beheko lekutzailea zure profileko azpisare batekin. Gailuaren izenak existitu behar du ibilbidea zerbaiti atxikitako ahal izateko.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Lehen lerroak RTNETLINK answers: Operation not permitted itzultzen badu, kontuak profileak eskatzen duen ibilbide pribatua instalatu ezin duela esan nahi du. Bigarren lerroak eskubide bera alderantziz frogatzen du, eta hori garrantzitsua da ibilbideak gehitu baina kendu ezin dituen bezero batek taula hautsia uzten duelako. Resolverraren kontsultak, ondoren, erakusten du izen pribatuak tunelen bidez ebazten diren edo ostalariak jada fidatzen duen resolverrera ihes egiten duten.

Exekutatu hirurak proba-gailua oraindik badagoen bitartean, eta gero ezabatu. Desagertu den gailu batera seinalatzen duen ibilbidea da ordenagailu eramangarri batek konexioa galtzeko arrazoi ohikoena konexio hutsegite baten ondoren.

Erabaki zer behar duen saioak bizirik iraun

Karpeta ezabatzea ez da garbiketa-plana. Adaptadoreek, ibilbideek, resolver-ezarpenek, konfiantzazko ziurtagiriek eta gordetako kredentzialek prozesua gaindi dezakete bakoitzak, eta abiarazteko zerbitzu batek horietako batzuk galdetu gabe berrezar ditzake. Idatzi bezeroak zer utz dezakeen atzean, exekutatu aurretik, ez lehen deskonexio hutsaren ondoren.

Arau praktikoa aldatuko dituzun hiru azaleren argazkia ateratzea eta gero haiek alderatzea da. Erregistratu interfazeak, ibilbide-taularen nagusia eta resolverraren egoera lehen konexioaren aurretik, eta gero errepikatu hiru irakurketa berak bezeroa irten ondoren.

ip -brief addr show
ip route show table main
resolvectl status

Bigarren harrapaketan dagoen eta lehenengoan falta den guztiak jabe bat behar du. Edo bezeroak irtetean kentzen du, edo zuk kentzen duzu sortu zuten komando berberekin, eta kenketa hori inplementazio-oharretan dagokio, ez norbaiten memorian zer gertatu zen. Windowsen baliokide diren irakurketak Get-NetAdapter, Get-NetRoute eta Get-DnsClientServerAddress dira, pribilegiorik behar ez dutenak baina hondar berberak erakusten dituztenak.