Androidin VPN-profiili: etsi omistaja ennen muokkaamista

Androidin VPN-näyttö näyttää yhden rivin, jossa on nimi, avainkuvake ja ehkä aina päällä -kytkin. Se näyttää harvoin päätepisteen, reittikäytännön, DNS-palvelimet tai tunnistetiedot, jotka saavat yhteyden toimimaan, koska sovelluspohjaisessa tunnelissa ne kuuluvat sovellukselle. Käytännön seuraus on runbook-kysymys, ei filosofinen: ennen kuin muokkaat ladattua tiedostoa tai etsit keskitettyä profiilivarastoa, selvitä mikä komponentti omistaa asetuksen, jota haluat muuttaa.

Selvitä ensin yhteyden tyyppi

Samalla asetusnäytöllä on ainakin kolme järjestelyä. Sovellus voi käyttää VpnService-palvelua virtuaalisen rajapinnan rakentamiseen ja omistaa protokollan ja yksityisen kokoonpanon, mukaan lukien paikallinen suodatussovellus ilman etäulostuloa. Android voi myös valmistella alustan IKEv2-profiilin Ikev2VpnProfile kautta, saatavilla API 30:stä, jolloin alusta pitää hallussaan suuremman osan profiilista. Ja palveluntarjoajan sovellus voi näyttää oman palvelinluettelonsa ja koota asetukset sisäisesti.

adb shell dumpsys connectivity | grep -i -A12 "VPN"
adb shell cmd connectivity list-owners 2>/dev/null || true

Ensimmäinen komento näyttää aktiivisen VPN-verkon ja sen linkin ominaisuudet, eli sovelletun tilan. Jos rivi nimeää paketin, jonka tunnistat, aloita kyseisen sovelluksen omasta profiilinäkymästä järjestelmän näytön sijaan.

Kirjaa omistaja ja profiilin laajuus

Kirjoita neljä tosiasiaa ennen kuin muutat mitään: omistava paketti, sijaitseeko yhteys henkilökohtaisessa vai työprofiilissa, profiilin tai yhteyden nimi sellaisena kuin sovellus sen näyttää, ja kuka sitä hallinnoi. Laitteen omistaja voi valmistella työprofiilin VPN:n, jota henkilökohtaisen profiilin käyttäjä ei voi muokata, ja saman sovelluksen kahdesti asennettuna saat kaksi riippumatonta omistajaa.

Tämä vaihe estää yleisimmän hukatun tunnin, eli sellaisen profiilin muokkaamisen, joka ei ole yhdistetty. Sovellukset pitävät usein useita profiileja, ja aktiivinen on sovelluksen ominaisuus, ei Android-rivin.

Vertaa pyydettyä, vastaanotettua ja sovellettua tilaa

Nämä ovat kolme eri vaihetta, ja niiden välinen ero kertoo, minkä komponentin korjaat.

Sovellettu vaihe on se, jota voit havainnoida luottamatta kenenkään lokiin. Vertaa aktiivisen linkin ominaisuuksien DNS-palvelimia ja reittejä niihin, joita profiili väittää; jos ne eroavat, palvelin työnsi jotain tai sovellus sovelsi käytäntöä, jota et odottanut.

adb shell ip addr show tun0
adb shell ip route show table all | head -40

Rajapintojen nimet eroavat sovellusten välillä, joten luettele ensin rajapinnat ja lue se, joka ilmestyi, kun tunneli yhdistettiin. Reitti, joka on sovelluksen editorissa mutta puuttuu täältä, ei koskaan toteutunut; reitti, joka on täällä mutta puuttuu editorista, tuli muualta.

Muokkaa artefaktia, jota omistaja todella lukee

Tuodun OpenVPN-profiilin osalta sovellus pitää yleensä omaa kopiotaan. Alun perin ladatun tiedoston muokkaaminen myöhemmin ei muuta seuraavaa yhteyttä; käytä sovelluksen dokumentoitua editoria tai tuo uudelleen ja vahvista, mikä profiili on nyt aktiivinen. Se on ero tiedoston muuttamisen ja kokoonpanon muuttamisen välillä.

Palveluntarjoajien sovellukset kokoavat asetukset usein palvelinluettelosta sen sijaan, että kirjoittaisivat käyttäjän muokattavissa olevan tiedoston. Vie-painikkeen puuttuminen ei todista, että VPN on väärennös, ja viety tiedosto voi jättää pois laitteeseen sidotut avaimet tai rekisteröintimateriaalin, jota toinen laite tarvitsisi. Käsittele vientiä ja tuontia erillisinä toimintoina, joilla on omat edellytyksensä.

Kirjoita tukimuistio paljastamatta salaisuuksia

Hyödyllinen muistio nimeää tarkan sovelluksen ja profiilin, väärältä näyttävän asetuksen ja todisteet kustakin vaiheesta. Esimerkiksi: tämä profiili saa palvelimelta yksityisen DNS-osoitteen, mutta aiottu työsovellus ei voi ratkaista palveluaan, ja sovelletut linkin ominaisuudet näyttävät kyseisen ratkaisijan, kun profiilin editori näyttää toisen.

Pidä tunnistetiedot poissa muistiosta. Laitteen roottaaminen sovelluksen yksityisen tallennustilan etsimiseksi ei ole tarpeen omistajan tunnistamiseksi, eikä arvattu datakansion polku ole tuettu rajapinta. Jos vastaus vaatii tavuja, jotka vain sovellus näkee, pyydä omistajalta diagnostiikkavienti sen sijaan, että keksit sellaisen.

Kun työ on valmis, sulje silmukka: vahvista aktiivisen profiilin nimi, lue sovellettu tila uudelleen ja katkaise yhteys kerran varmistaaksesi, että muutos säilyy uudelleenyhdistämisen yli. Asetus, joka on vain editorissa, ei ole käytössä.