Draachbere VPN-klant sûnder administratorrjochten: wat noch hieltyd brekt

Draachber beskriuwt de ynstallearder, net de kearn. In klant kin as ien útfierber bestân op in USB-stick komme en dochs in tunnelapparaat, in ynskriuwing yn 'e rûtetabel en in skriuwing nei de resolver nedich wêze foardat it earste pakket beweecht. Hokker fan dy trije de doelmachine jo oanreitsje lit, beslút oft dy bou dêr überhaupt wurket. De tests hjirûnder beantwurdzje de fraach yn 'e oarder wêryn't de klant se treft.

Draachber beslacht trije ferskate beloften, en mar ien is fergees

Gjin ynstallearder betsjuttet dat de leveransier gjin tsjinst registrearre, gjin deynstallearder levere en gjin menuyngong tafoege. Gjin administrator betsjuttet dat in gewoan akkount de klant starte en in ferbining foltôgje kin. Gjin feroaring oan 'e host betsjuttet dat de masine identyk liket neidat jo ôfslute. Downloadsideen dy't draachber sizze, belove meastentiids allinnich it earste dêrfan, en de oare twa binne wêr't ynsetten mislearje. In bou kin ek draachber wêze yn 'e nauwe sin: it draait fan allinnich-lêzen media sûnder hokker puntbestân-skriuwing dan ek, wat noch hieltyd neat oer de netwurkstapel seit.

De djoere beloften binne de twadde en de tredde. Ien útfierber bestân dat in adapter, in rûte of in skriuwing nei de resolver nedich hat, freget it bestjoeringssysteem om gesach dat it label draachber nea besloech.

Fyn de privilezjearre helper dy't de klant oanroppe sil

Suver gjin VPN-klant beweecht pakketten út himsels. Op Windows rint it datapad troch WFP-filters en de Base Filtering Engine, op macOS troch in NetworkExtension-oanbieder dy't de brûker yn Systeemynstellingen goedkart, en op Linux troch in tun-apparaat plus de routingstapel. It binaries bestân dat jo kopiearre hawwe is in kontrôleflak foar dy komponinten, gjin ferfanging. Freegje hokker komponint de klant ferwachtet, befêstigje dan dat it ynstallearre is, draait en troch jo akkount brûkt wurde kin.

Linux is it maklikste plak om it punt te bewizen, om't de kontrôle ien systeemoprop is. /dev/net/tun iepenje en de kearn om in apparaat freegje freget CAP_NET_ADMIN, en de kearndokumintaasje oer TUN/TAP neamt sawol de eigendomsregel as de mooglikheid. Rin de test as it akkount dat de klant starte sil, net as root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

In tastimmingsflater op 'e middenrigel is it antwurd dat jo sochten: dit akkount kin gjin tunnelinterface meitsje, dus elke brûkersromte-klant dy't ien nedich hat, mislearret by ferbinen yn stee fan by downloaden. De lêste rigel hellet it testapparaat fuort en printsjeet neat as it wurket. As beide rigels slagje, hat de host neat permanint feroare.

Test rûte- en resolverferoarings foar de earste ferbining

In spjalte tunnel makket fan in ferbining in routingbeslissing, wylst in folsleine tunnel it in ferfanging fan 'e standertrûte makket. Beide binne skriuwingen nei de netwurkstapel fan 'e host, en beide mislearje foar in net-privilezjearre akkount sels as de klant sels skjin start. De resolver is de tredde skriuwing, en op systemd-hosts is it meastentiids dy't it lêst brekt. Dy oarder is wichtich as jo beslute wêr't jo in ferhege ynstallaasje oan besteegje.

In rûteproef hat in bestimming nedich dy't jo echt omtinke, ferfange dêrom de plekhâlder hjirûnder troch in subnet út jo eigen profyl. De apparaatnamme moat bestean foar't de rûte earne oan fêst kin.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

As de earste rigel RTNETLINK answers: Operation not permitted weromjout, betsjuttet dat it akkount de priveerûte dy't it profyl freget net ynstallearje kin. De twadde rigel bewiist itselde rjocht omkeard, wat fan belang is om't in klant dy't rûtes tafoegje kin mar se net fuorthelje kin in brutsen tabel efterlitte. De resolverfraach lit dan sjen oft priveenammen troch de tunnel oplost wurde of lekke nei hokker resolver de host al fertrout.

Rin alle trije wylst it testapparaat noch bestiet, en smyt it dan fuort. In rûte dy't nei in ferdwûn apparaat wiist is de meast foarkommende reden dat in laptop ferbining ferliest nei in mislearre ferbining.

Beslút wat de sesje oerlibje moat

It fuortsmitten fan 'e map is gjin opromjeplan. Adapters, rûtes, resolverynstellingen, fertroude sertifikaten en bewarre oanmeldgegevens kinne elk it proses oerlibje, en in tsjinst by it opstarten kin guon fan har weromsette sûnder te freegjen. Skriuw op wat de klant efterlitte mei foardat jo it rinne litte, net nei de earste mislearre ôfkoppeling.

De praktyske regel is om in momintopname te meitsjen fan 'e trije oerflakken dy't jo oanpasse sille en se dêrnei te ferlykjen. Registrearje interfaces, de haadrûtetabel en de resolverynstelling foar de earste ferbining, en werhelje dan deselde trije lêzingen as de klant ôfsletten is.

ip -brief addr show
ip route show table main
resolvectl status

Alles wat yn 'e twadde opname oanwêzich is en yn 'e earste ûntbrekt, hat in eigner nedich. Of de klant hellet it fuort by it ôfsluten, of jo helje it fuort mei deselde opdrachten dy't it makke hawwe, en dat fuortheljen heart yn 'e ynsetnotysjes, net yn ien syn ûnthâld oer wat der barde. Op Windows binne de lykweardige lêzingen Get-NetAdapter, Get-NetRoute en Get-DnsClientServerAddress, dy't gjin ferheging nedich hawwe mar deselde oerbliuwsels sjen litte.