Android-VPN-eksport: wat der eins oerdroegen wurdt nei in nije tillefoan
In Android-VPN-eksport stjoert ynstellingen en soms in kaai, mar nea de apparaatautorisasje. Kontrolearje wat der eins oergieat foardat jo de âlde tillefoan wiskje.
In VPN-profil eksportearje fan Android fielt as in backup-stap, en it menu dat it oanbiedt docht neat om dy yndruk te korrigearjen. Wat jo meinimme is in parser-ynfier, in kaai dy't it bestjoeringssysteem miskien nea weromjout, en in autorisaasje dy't oan krekt dy tillefoan útjûn is. Skied dy trije en de nijsgjirrige fraach komt: hokker diel ûntbrekt noch op it nije apparaat?
It bestân is it maklike part. De oare twa beslute oft de migraasje wurket.
Wat in eksportearre profil eins befettet
Iepenje it bestân yn in teksteditor foardat jo it fertrouwe. In OpenVPN-profyl is in lytse konfiguraasjetaal: remote, proto, data-ciphers en faaks ynline <ca>, <cert>, <key> of <tls-crypt>-blokken dy't de klient oan syn TLS-stapel jout. In WireGuard-konfiguraasje is flakker: [Interface] hâldt PrivateKey en Address, dan ien [Peer] per einpunt mei PublicKey, AllowedIPs en Endpoint. IKEv2 komt as in .mobileconfig mei payload-woordenboeken ynstee fan kaai-blokken.
Gjin fan dy tekst is op himsels in bewiis. It bewiis is de priveekaai, en elk formaat plakt dy ynline of wiist nei in alias dy't allinnich oplost binnen de klient dy't it makke hat.
Wêr't de kaai eins wennet op Android
Android hâldt app-gegevens ûnder /data/data/<package>, lêsber troch allinnich de UID fan dy app. Der is gjin stipe manier om de priveemap fan in oare app fan in net-rooted tillefoan te kopiearjen, en adb backup hold op in algemien antwurd te wêzen neidat Android 12 it ôfskaft hie en klienten allowBackup="false" begûnen te ferklearjen. Dat in eksport fan in Android-klient betsjut wat dy klient ymplementearret, net in kopy fan it bestânsysteem.
De identiteitslaach sit ûnder de app. As in klient jo kaai yn 'e Android Keystore ymporteare hat, wurdt it materiaal dêr generearre of ferpakt, en lettere eksporten kinne in ferwizing nei in Keystore-alias drage ynstee fan de bytes. Hardware-stipe kaaien binne sa boud dat sels de eigen app se net lêze kin, sa't Keystore documentation beskriuwt, dat in profyl dat nei dy alias wiist ymportearret skjin op deselde tillefoan en mislearret oeral oars.
Dat is gjin brutsen eksport. It is de eigenskip dy't fan it platfoarm frege is.
Wat in profyl net oerdrage kin
Set de objekten tsjin wat in bestimming akseptearret:
| Objekt | Giet oer? | Wêrom |
|---|---|---|
| Protokol en einpunt | Ja, as de bestimmingsklient it ferstiet | Gewoane tekst yn it profyl |
| CA-sertifikaat en hostnam-kontrôle | Meastentiids | Iepenbier materiaal, mar de hostnam moat noch by it sertifikaat passe |
| Kliïntsertifikaat | Ja, útsein as it per apparaat bûn is | Sertifikaten binne oerdraber; de útjouwer beslút hoefolle apparaten ien brûke meie |
| Priveekaai | Allinnich as bûten de Keystore generearre | Hardware-stipe kaaien kinne net eksportearre wurde, allinnich ferfongen |
| Account, MFA, SSO-sesje | Nee | Tokens ferrinne en bliuwe bûn oan it apparaat dat se krigen hat |
| Rûtes, DNS en app-omfang | Allinnich as konfiguraasjetekst | Android past se ta by ferbinen fia VpnService.Builder |
| App-list foar split-tunnel | Seldsum | Pakketnammen ferskille tusken apparaten, en de list is klientsteat |
Twa rijen feroarsaakje it measte betizing. In kaai dy't op it apparaat generearre is en as net-eksportearber markearre is, is wier fuort mei de app-gegevens, dat de ferfanging is in nije kaai plus in sertifikaat dat dêrfoar útjûn is. In sesjetoken dat nei in nije tillefoan kopiearre is, stjert meastentiids by de earste ferfrissing, wat as in mislearre ymport lêzen wurdt.
Ymport is in parse, dan in tastimmingsprompt
Oan 'e ûntfangende kant is ymport in parse folge troch in fêstlizzen. De klient lêst de konfiguraasje, kontrolearret dat elk neamd blok bestiet, en skriuwt dan de tunneldefinysje yn syn eigen sandbox, en dêrom is it bestân dat jo út Downloads keazen hawwe net wat dernei ferbynt.
Dan komt in autorisaasjestap dy't gjin bestân oerslaan kin. Android easket dat de app VpnService.prepare() oanropt en jo tastimming krijget foardat it in tunnel meitsje mei, dat in nij ymportearre profyl lit noch ien kear de systeemdialooch sjen. Dan wurdt de tunnel eksplisyt boud fia addAddress, addRoute, addDnsServer en addAllowedApplication of addDisallowedApplication foar routing per app. Gjin fan dy wurdt troch in einpunt ymplisearre, dat itselde profyl kin in oare effektive rûteset yn twa klienten meitsje.
Sertifikaatbasearre opsetstappen foegje noch in twataking ta. As de server in sertifikaat oan in bepaald apparaat útjout, sa't MDM en SCEP-ynskriuwing dogge, wurket wergebrûk op in twadde tillefoan of oant de server ien sesje per identiteit ôftwingt, of it mislearret by de TLS-handshake. Kontrolearje it belied fan de útjouwer foardat jo wergebrûk plenje.
Kontrolearje it nije apparaat foardat jo it âlde ôftankje
Hâld de âlde tillefoan ferbûn oant de nije eat better as in grien ikoan helle hat. Befêstigje it útgongsadres fan it nije apparaat en de DNS-resolver dy't it eins brûkt hat. As split tunneling fan belang is, start dan in app dy't de tunnel omsile moat en ien dy't dat net moat, en sjoch hokker jo provider berikt.
Ien kontrôle beslist it útgongsadres. Iepenje https://ifconfig.me yn 'e browser fan 'e tillefoan, rin dan curl -s https://ifconfig.me fan in laptop op itselde Wi-Fi en fergelykje beide antwurden mei it adres dat jo provider jo jûn hat.
Pas dan tankje jo de âlde identiteit ôf, en dogge dat fia de útjouwer: lûk it sertifikaat yn of ferwiderje it apparaat út it account. It wiskjen fan in bestân út Downloads einiget neat, want twa apparaten mei itselde sertifikaat sjogge der itselde út yn it serverlog.
As de eksport net-oerdraber blykt, is de oplossing in nije ynskriuwing ynstee fan in iepenbier konfiguraasjepakket. Freegje om in profyl foar in twadde apparaat, of generearje it kaaipear op 'e nije tillefoan en tsjinje de CSR yn; stadiger, en it is it paad dat de útjouwer stipet.
Rin de checklist nei foardat jo eat wiskje: nij apparaat ferbynt, útgongsadres en DNS komme oerien, app-omfang is wat jo bedoelden, âlde identiteit is ynlutsen, en elk konfiguraasjebestân dat jo holden hawwe sit yn fersifere opslach.