Siirrettävä VPN-asiakasohjelma ilman järjestelmänvalvojan oikeuksia: mikä yhä rikkoutuu

Siirrettävä kuvaa asennusohjelmaa, ei ydintä. Asiakasohjelma voi saapua yhtenä suoritettavana tiedostona USB-muistilla ja tarvita silti tunnelilaitteen, merkinnän reititystauluun ja kirjoituksen nimeämisratkaisijaan ennen kuin ensimmäinen paketti liikkuu. Se, mihin näistä kolmesta kohdekone antaa sinun koskea, ratkaisee, toimiiko kyseinen kooste siellä ollenkaan. Alla olevat testit vastaavat kysymykseen siinä järjestyksessä, jossa asiakasohjelma ne kohtaa.

Siirrettävyys kattaa kolme eri lupausta, ja vain yksi on ilmainen

Ei asennusohjelmaa tarkoittaa, että toimittaja ei rekisteröinyt palvelua, ei toimittanut poisto-ohjelmaa eikä lisännyt valikkomerkintää. Ei järjestelmänvalvojaa tarkoittaa, että tavallinen tili voi käynnistää asiakasohjelman ja viimeistellä yhteyden. Ei isäntäkoneen muutosta tarkoittaa, että kone näyttää samalta lopetettuasi. Lataussivut, jotka sanovat siirrettävä, lupaavat yleensä vain ensimmäisen näistä, ja kaksi muuta ovat se kohta, jossa käyttöönotot epäonnistuvat. Kooste voi olla siirrettävä myös suppeassa mielessä: se toimii vain luku -medialta ilman yhtään piste-piilotiedostoon tehtävää kirjoitusta, mikä ei vielä kerro mitään verkkopinosta.

Kalliit lupaukset ovat toinen ja kolmas. Yksi suoritettava tiedosto, joka tarvitsee sovittimen, reitin tai kirjoituksen nimeämisratkaisijaan, pyytää käyttöjärjestelmältä valtaa, jota siirrettävä-tarra ei koskaan kattanut.

Löydä se etuoikeutettu apuohjelma, jonka asiakasohjelma kutsuu

Lähes mikään VPN-asiakasohjelma ei siirrä paketteja itse. Windowsissa datapolku kulkee WFP-suodattimien ja Base Filtering Enginen kautta, macOS:ssa NetworkExtension-tarjoajan kautta, jonka käyttäjä hyväksyy järjestelmäasetuksissa, ja Linuxissa tun-laitteen sekä reitityspinon kautta. Kopioimasi binaaritiedosto on näiden komponenttien ohjauspinta, ei niiden korvike. Kysy, mitä komponenttia asiakasohjelma odottaa, ja vahvista sitten, että se on asennettu, käynnissä ja tilisi käytettävissä.

Linux on helpoin paikka todistaa väite, koska tarkistus on yksi järjestelmäkutsu. /dev/net/tun avaaminen ja laitteen pyytäminen ytimeltä vaatii CAP_NET_ADMIN, ja ytimen TUN/TAP-dokumentaatio mainitsee sekä omistussäännön että kyvyn. Suorita testi sillä tilillä, joka käynnistää asiakasohjelman, älä rootina.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Keskimmäisen rivin käyttöoikeusvirhe on se vastaus, jota etsit: tämä tili ei voi luoda tunneliliittymää, joten mikä tahansa käyttäjäavaruuden asiakasohjelma, joka tarvitsee sellaisen, epäonnistuu yhdistettäessä eikä latauksessa. Viimeinen rivi poistaa testilaitteen eikä tulosta mitään, kun se toimii. Jos molemmat rivit onnistuvat, isäntä ei muuttanut mitään pysyvästi.

Testaa reitin ja nimeämisratkaisijan muutokset ennen ensimmäistä yhteyttä

Jaettu tunnelointi muuttaa yhteyden reitityspäätökseksi, kun taas täysi tunneli muuttaa sen oletusreitin korvaukseksi. Molemmat ovat kirjoituksia isännän verkkopinon ja molemmat epäonnistuvat ilman etuoikeuksia olevalle tilille, vaikka asiakasohjelma käynnistyisi puhtaasti. Nimeämisratkaisija on kolmas kirjoitus, ja systemd-isännillä se on yleensä se, joka rikkoutuu viimeisenä. Tällä järjestyksellä on merkitystä, kun päätät, mihin käytät korotetun asennuksen.

Reittitesti tarvitsee kohteen, josta todella välität, joten korvaa alla oleva paikkamerkki oman profiilisi aliverkolla. Laitteen nimen on oltava olemassa, jotta reitti voi kiinnittyä johonkin.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Jos ensimmäinen rivi palauttaa RTNETLINK answers: Operation not permitted, tili ei voi asentaa yksityistä reittiä, jota profiili vaatii. Toinen rivi todistaa saman oikeuden päinvastoin, millä on merkitystä, koska asiakasohjelma, joka osaa lisätä reittejä mutta ei poistaa niitä, jättää rikkoutuneen taulun jälkeensä. Sen jälkeen nimeämisratkaisijan kysely näyttää, ratkaistaanko yksityiset nimet tunnelin kautta vai vuotavatko ne sille ratkaisijalle, johon isäntä jo luottaa.

Suorita kaikki kolme, kun testilaite vielä on olemassa, ja poista se sitten. Reitti, joka osoittaa kadonneeseen laitteeseen, on yleisin syy siihen, että kannettava menettää yhteyden epäonnistuneen yhteyden jälkeen.

Päätä, mikä istunnon on selvittävä

Kansion poistaminen ei ole siivoussuunnitelma. Sovittimet, reitit, nimeämisratkaisijan asetukset, luotetut varmenteet ja tallennetut tunnistetiedot voivat kukin kestää prosessia pidempään, ja käynnistysaikainen palvelu voi palauttaa joitakin niistä kysymättä. Kirjoita ylös, mitä asiakasohjelma saa jättää jälkeensä ennen kuin suoritat sen, älä vasta ensimmäisen epäonnistuneen katkaisun jälkeen.

Käytännön sääntö on ottaa tilannekuva kolmesta pinnasta, joita olet muuttamassa, ja verrata niitä jälkeenpäin. Kirjaa liittymät, pääreititystaulu ja nimeämisratkaisijan tila ennen ensimmäistä yhteyttä ja toista sitten samat kolme lukua, kun asiakasohjelma on poistunut.

ip -brief addr show
ip route show table main
resolvectl status

Kaikki, mikä on toisessa tallenteessa ja puuttuu ensimmäisestä, tarvitsee omistajan. Joko asiakasohjelma poistaa sen poistuessaan tai sinä poistat sen samoilla komennoilla, jotka sen loivat, ja se poistaminen kuuluu käyttöönoton muistiinpanoihin, ei kenenkään muistiin siitä, mitä tapahtui. Windowsissa vastaavat luvut ovat Get-NetAdapter, Get-NetRoute ja Get-DnsClientServerAddress, jotka eivät vaadi korotusta mutta näyttävät samat jäänteet.