VPN le chroot ar Android: cén fáth a n-oibríonn an tollán agus cén fáth a ndéanann aipeanna neamhaird de

Cuirtear dáileadh Linux ag rith faoi chroot ar an bhfón, suiteáiltear cliant VPN istigh ann, agus fógraíonn an sliogán go bhfuil an tollán críochnaithe. Ansin téitear go brabhsálaí agus téann an trácht amach trí shonraí móibíleacha amhail is nár tharla aon rud. Nó a mhalairt: cailleann gach aip ar an bhfón an nasc toisc gur chuir an cliant bealach réamhshocraithe sa spás ainmneacha a úsáideann Android i ndáiríre. Tagann an dá shíomptóm ón bpíosa céanna atá ar iarraidh, agus ní fabht sa chliant VPN ceachtar acu.

Deir an sliogán go bhfuil sé ceangailte, ní aontaíonn na haipeanna

Is é an chéad toradh an ceann coitianta. Is féidir le tollán i spás úsáideora a osclaíodh ó chroot a chroitheadh láimhe a chríochnú, a chuid staitisticí a phriontáil agus an trácht a ghineann an sliogán céanna a iompar, agus aipeanna Android fós ag úsáid líonra réamhshocraithe an fhóin. Ní thógann aon rud iad, mar níor inis aon rud d’Android go bhfuil VPN ann.

Is é an dara toradh an ceann contúirteach. Má roinneann an chroot spás ainmneacha líonra Android, rud a dhéanann sé de réir réamhshocraithe, is féidir le próiseas a bhfuil pribhléidí leordhóthanacha aige bealaí agus comhéadan TUN a chur leis a théann i bhfeidhm ar an bhfón ar fad. Ansin oibríonn an tollán do gach aip, lena n-áirítear iad siúd nach raibh sé ar intinn agat a ródú, agus braitheann nascacht an fhóin anois ar dhaemon gan bhainistíocht saolré, gan táscaire naisc agus gan bheartas i gcónaí ar siúl.

Cé acu den dá thoradh a fuair tú is féidir a fhreagairt le haon ordú amháin. Déan comparáid idir ip route istigh sa chroot agus an t-ordú céanna ó shliogán Android taobh amuigh. Ciallaíonn aschur comhionann go bhfuil an chroot i spás ainmneacha an óstaigh: tá aon athrú líonra a dhéanann sé i bhfeidhm ar an bhfón ar fad. Ciallaíonn aschur difriúil gur chruthaigh an lainseálaí spás ainmneacha dó, agus tá a thollán dofheicthe do Android de réir a dhéanta.

Cad a d’athraigh chroot agus cad nár athraigh

Déanann an glao córais chroot rud amháin: athraíonn sé an t-eolaire a úsáidtear le haghaidh réiteach cosán. Deir an leathanach man go soiléir nach teorainn slándála é, agus ní deir sé aon rud faoi chomhéadain, bealaí ná faoi staid VPN. Tagann gach rud a mbíonn súil ag daoine leis ó choimeádán Linux — cruach líonra príobháideach, córas comhad scagtha, teorainneacha acmhainní — ó mheicníochtaí eile a d’fhéadfadh an lainseálaí a bheith úsáidte nó gan a bheith.

Sin an fáth a bhfreagraíonn na maímh go ndéanann chroot VPN a leithlisiú an cheist mhícheart de ghnáth. Is í an cheist ábhartha cén spás ainmneacha ina ritheann an próiseas agus cén fearann SELinux ina bhfuil sé srianta, agus is airíonna iad araon ar an gcaoi ar cuireadh tús leis, ní ar an bhfocal chroot.

Teastaíonn trí rud ó TUN, agus níl i nóid gléis ach ceann amháin

Teastaíonn ó thollán traidisiúnta i spás úsáideora gléas TUN ar féidir leis a oscailt, tacaíocht eithne don ghléas sin, agus cead chun an comhéadan agus na bealaí a chumrú. Is ceanglais ar leith iad seo, agus ní chomhlíonann cruthú ainm cosáin faoi /dev aon cheann acu ann féin:

ls -l /dev/net/tun
ip tuntap add dev tun0 mode tun

Ar Android bíonn tacaíocht TUN tiomsaithe isteach san eithne de ghnáth, toisc go n-úsáideann seirbhís VPN an ardáin í, ach ní chiallaíonn sé sin go bhfuil cead ag do phróiseas í a úsáid. Teastaíonn an cumas riaracháin líonra chun an comhéadan a chumrú, agus socraíonn SELinux an féidir leis an bpróiseas nóid an ghléis a bhaint amach ar chor ar bith. Breathnaíonn diúltú cosúil le hearráid cheada gan chúis shoiléir, agus tá an freagra sa rian iniúchóireachta:

dmesg | grep avc
logcat -d | grep "avc: denied"

Ní réitíonn root é seo. Cuireann SELinux srian le próisis faoi uid 0 díreach mar a dhéanann sé le cinn eile, mar sin is féidir diúltú fós do chroot a cuireadh tús leis ó shliogán root i leith gléis a fheiceann sé. Is cinneadh don fhón ar fad é forfheidhmiú a mhúchadh chun sean-tsuiteálaí a chur ag obair, le hiarmhairtí i bhfad níos faide ná an tollán, agus ní socrú é ar dhéineálaí atá as dáta.

Cén fáth a ndéanann aipeanna Android neamhaird de do thollán

Is é an tsamhail atá tacaithe ag Android aip VPN a chláraíonn trí sheirbhís VPN an ardáin, a iarrann toiliú an úsáideora uair amháin agus a fhaigheann tuairisceoir comhaid dá thollán. Ansin seolann an t-ardán trácht isteach sa tuairisceoir sin agus forchuireann sé scóip na n-aip a roghnaigh an t-úsáideoir nó an riarthóir, agus sin an fáth a bhféadfadh an mheicníocht chéanna a bheith in aghaidh na haipe, in aghaidh an phróifíl agus a chomhcheangal le socruithe i gcónaí ar siúl agus blocála gan VPN. Déanann treoir forbartha VPN Android cur síos ar an gcroitheadh láimhe sin, agus is é an pointe lárnach gur clárú é, ní cleas ródaithe.

Ní chláraíonn daemon istigh i chroot riamh. Níl aon dialóg toilithe, aon deilbhín eochrach sa bharra stádais, aon liosta cuimsithe nó eisiatóra in aghaidh na haipe, agus aon rannpháirtíocht sa bheartas i gcónaí ar siúl. Mar sin fanann aipeanna ar an líonra réamhshocraithe, agus ní iompraíonn an tollán ach an méid a sheolann an sliogán féin.

Ní chabhraíonn an treo eile ach an oiread. Cuireann bealaí a bhrú isteach i spás ainmneacha an óstaigh gach rud i bhfolach, lena n-áirítear trácht a raibh súil ag an ardán leis a choinneáil áitiúil, agus déanann sé sin gan rialú in aghaidh na haipe agus gan aon bhealach don úsáideoir é a fheiceáil ná a chúlghairm. Níl aon socrú idirmheánach ina ndéanann daemon i chroot trácht a ródú d’aon aip amháin.

Is balla ar leith é comhoiriúnacht dhénártha

Fiú nuair a bhíonn an taobh líonra suimiúil, tá a cheanglais féin ag an gcomhad inrite: ailtireacht LAP, an lódóir dinimiciúil, an leabharlann C agus cumais na heithne a mbíonn súil aige leo. Úsáideann Android bionic seachas glibc, agus d’fhéadfadh go mbeadh leabharlanna ag teastáil ó shean-dhénártha a tógadh do dháileadh deisce nach bhfuil ar an ngléas a thuilleadh.

Ní chruthaíonn nascadh ainm comhaid leabharlainne le leagan níos nua comhoiriúnacht ABI, agus ní comhpháirt chothabháilte í leabharlann chripteagrafaíochta cartlannaithe ó phacáiste deich mbliana d’aois. Má bhraitheann an plean air sin, is é an plean cód neamhchothabháilte a rith le pribhléidí líonra ar fhón.

Cruthaigh é i gcomhthéacs Android agus glan suas ina dhiaidh

Tástáil an rud a bhfuil tábhacht cheart leis duit, ón taobh a bhfuil tábhacht leis: oscail an aip ar leith, sroich an ceann scríbe príobháideach ar leith, deimhnigh cén réiteoir a d’fhreagair, ansin dícheangail an tollán agus deimhnigh an t-iompar atá doiciméadaithe. Ní fianaise é toradh ó theirminéal istigh sa chroot ach faoi chomhthéacs forghníomhaithe an theirminéil sin.

Má d’athraigh tú bealaí an óstaigh le linn an turgnaimh, cuir ar ais iad agus taifead cad a d’athraigh tú. Ansin seiceáil an bhfuil VPN i gcónaí ar siúl cumraithe ar an bhfón, mar is féidir le sean-thurgnamh a d’fhág riail breathnú cosúil le fabht ardáin míonna ina dhiaidh sin.

Le haghaidh fíor-riachtanas rochtana cianda, bain úsáid as cliant tacaithe na seirbhíse nó as dearadh geata ceadaithe. Ní hé an cheist is fiú a chur an féidir tsuiteálaí root a chur ag obair, ach an iompraíonn cur i bhfeidhm tacaithe na haipeanna a theastaíonn uait thar na teorann a bhí beartaithe agat, gan athruithe pribhléideacha gan úinéir a fhágáil ar an ngléas.