Android VPN એક્સપોર્ટ: નવા ફોનમાં ખરેખર શું જાય છે

Android થી VPN પ્રોફાઇલ એક્સપોર્ટ કરવું બેકઅપ પગલા જેવું લાગે છે, અને જે મેનુ તેને ઓફર કરે છે તે એ છાપ સુધારવા કંઈ કરતું નથી. તમે જે લઈ જાઓ છો તે parser ઇનપુટ, ઓપરેટિંગ સિસ્ટમ કદાચ ક્યારેય પણ પાછી ન આપે તેવી કી, અને તે ચોક્કસ ફોન માટે જારી થયેલું ઓથોરાઇઝેશન છે. આ ત્રણને અલગ કરો અને ઉપયોગી પ્રશ્ન દેખાય છે: નવા ડિવાઇસ પર હજુ કયો ભાગ ખૂટે છે?

ફાઇલ સહેલો ભાગ છે. બાકીના બે નક્કી કરે છે કે માઇગ્રેશન કામ કરશે કે નહીં.

એક્સપોર્ટ કરેલી પ્રોફાઇલમાં ખરેખર શું હોય છે

વિશ્વાસ કરતા પહેલાં ફાઇલને ટેક્સ્ટ એડિટરમાં ખોલો. OpenVPN પ્રોફાઇલ એક નાની કન્ફિગરેશન ભાષા છે: remote, proto, data-ciphers, અને ઘણી વાર ઇનલાઇન <ca>, <cert>, <key> કે <tls-crypt> બ્લોક જે ક્લાયન્ટ તેના TLS સ્ટેકને આપે છે. WireGuard કન્ફિગ વધુ સપાટ છે: [Interface] માં PrivateKey અને Address હોય છે, પછી દરેક એન્ડપોઇન્ટ માટે એક [Peer] જે PublicKey, AllowedIPs અને Endpoint ધરાવે છે. IKEv2 .mobileconfig તરીકે આવે છે, જેમાં કી બ્લોકને બદલે પેલોડ ડિક્શનરી હોય છે.

એ લખાણમાંથી કંઈ પણ એકલું ક્રેડેન્શિયલ નથી. ક્રેડેન્શિયલ એ પ્રાઇવેટ કી છે, અને દરેક ફોર્મેટ તેને ઇનલાઇન પેસ્ટ કરે છે અથવા એવા ઉપનામ તરફ નિર્દેશ કરે છે જે ફક્ત તેને બનાવનાર ક્લાયન્ટની અંદર જ ઉકેલાય છે.

Android માં કી ખરેખર ક્યાં રહે છે

Android એપ ડેટાને /data/data/<package> હેઠળ રાખે છે, જે ફક્ત તે એપના UID વાંચી શકે છે. રૂટ વગરના ફોનમાંથી બીજી એપની ખાનગી ડિરેક્ટરી કોપી કરવાની કોઈ સમર્થિત રીત નથી, અને Android 12 એ તેને બાકાત કર્યા પછી અને ક્લાયન્ટોએ allowBackup="false" જાહેર કરવાનું શરૂ કર્યા પછી adb backup સામાન્ય જવાબ રહ્યો નથી. તેથી Android ક્લાયન્ટમાંથી એક્સપોર્ટ એટલે તે ક્લાયન્ટ જે અમલમાં મૂકે છે, ફાઇલ સિસ્ટમની કોપી નહીં.

ઓળખ સ્તર એપની નીચે બેસે છે. જો ક્લાયન્ટે તમારી કી Android Keystore માં આયાત કરી હોય, તો સામગ્રી ત્યાં જનરેટ થાય છે અથવા લપેટાય છે, અને પછીના એક્સપોર્ટ બાઇટ્સને બદલે Keystore ઉપનામનો સંદર્ભ ધરાવી શકે છે. હાર્ડવેર-સપોર્ટેડ કી એ રીતે બનેલી છે કે માલિક એપ પણ તેને વાંચી શકતી નથી, જેમ Keystore documentation વર્ણવે છે, તેથી તે ઉપનામ તરફ નિર્દેશ કરતી પ્રોફાઇલ એ જ ફોન પર સ્વચ્છ રીતે આયાત થાય છે અને બીજે બધે નિષ્ફળ જાય છે.

તે તૂટેલો એક્સપોર્ટ નથી. તે એ ગુણધર્મ છે જે પ્લેટફોર્મને આપવાનું કહેવાયું હતું.

પ્રોફાઇલ શું લઈ જઈ શકતી નથી

વસ્તુઓને ગંતવ્ય જે સ્વીકારશે તેની સામે મૂકો:

બે પંક્તિઓ મોટાભાગની મૂંઝવણ સર્જે છે. ડિવાઇસ પર જનરેટ થયેલી અને નોન-એક્સપોર્ટેબલ તરીકે ચિહ્નિત કી ખરેખર એપ ડેટા સાથે જતી રહે છે, તેથી બદલી નવી કી અને તેના માટે જારી થયેલું સર્ટિફિકેટ છે. નવા ફોનમાં કોપી કરેલો સેશન ટોકન સામાન્ય રીતે પહેલા રિફ્રેશ પર જ મરી જાય છે, જે નિષ્ફળ આયાત જેવું લાગે છે.

આયાત એ પાર્સ છે, પછી સંમતિની વિનંતી

સ્વીકારનારી બાજુ પર, આયાત એ પાર્સ છે અને પછી કમિટ. ક્લાયન્ટ કન્ફિગ વાંચે છે, દરેક સંદર્ભિત બ્લોક અસ્તિત્વમાં છે કે નહીં તે તપાસે છે, પછી ટનલની વ્યાખ્યા પોતાના સેન્ડબોક્સમાં લખે છે, અને તેથી જ ડાઉનલોડમાંથી પસંદ કરેલી ફાઇલ પછી જે કનેક્ટ થાય છે તે નથી.

પછી એ ઓથોરાઇઝેશન પગલું આવે છે જે કોઈ ફાઇલ ટાળી શકતી નથી. ટનલ સ્થાપિત કરતા પહેલાં Android માં એપે VpnService.prepare() ને કૉલ કરવો અને તમારી સંમતિ લેવી પડે છે, તેથી હમણાં જ આયાત કરેલી પ્રોફાઇલ પણ એક વાર સિસ્ટમ ડાયલોગ બતાવે છે. પછી ટનલ સ્પષ્ટ રીતે addAddress, addRoute, addDnsServer, અને દરેક એપ રૂટિંગ માટે addAllowedApplication કે addDisallowedApplication દ્વારા બને છે. આમાંથી કંઈ પણ એન્ડપોઇન્ટ દ્વારા સૂચિત નથી, તેથી એક જ પ્રોફાઇલ બે ક્લાયન્ટમાં અલગ અસરકારક રૂટ સેટ બનાવી શકે છે.

સર્ટિફિકેટ-આધારિત સેટઅપ વધુ એક શાખા ઉમેરે છે. જ્યારે સર્વર ચોક્કસ ડિવાઇસને સર્ટિફિકેટ જારી કરે છે, જેમ MDM અને SCEP નોંધણી કરે છે, ત્યારે બીજા ફોન પર તેનો પુનઃઉપયોગ ક્યાં તો સર્વર દરેક ઓળખ માટે એક સેશન લાગુ કરે ત્યાં સુધી કામ કરે છે અથવા TLS હેન્ડશેકમાં નિષ્ફળ જાય છે. પુનઃઉપયોગની યોજના પહેલાં ઇશ્યુ કરનારની નીતિ તપાસો.

જૂનું છોડતા પહેલાં નવું ડિવાઇસ ચકાસો

નવો ફોન લીલા આઇકન કરતાં સારું કંઈ પાસ ન કરે ત્યાં સુધી જૂનો ફોન કનેક્ટેડ રાખો. નવા ડિવાઇસથી એગ્રેસ સરનામું અને તેણે ખરેખર વાપરેલો DNS રિઝોલ્વર ખાતરી કરો. જો split tunneling મહત્ત્વનું હોય, તો એવી એપ ચાલુ કરો જે ટનલ ટાળવી જોઈએ અને એક જે ન ટાળવી જોઈએ, પછી જુઓ કઈ તમારા ISP સુધી પહોંચે છે.

એક તપાસ એગ્રેસ સરનામું નક્કી કરે છે. ફોનના બ્રાઉઝરમાં https://ifconfig.me ખોલો, પછી એ જ Wi-Fi પરના લેપટોપથી curl -s https://ifconfig.me ચલાવો અને બંને જવાબોને તમારા પ્રદાતાએ ફાળવેલા સરનામા સાથે સરખાવો.

ત્યાર પછી જ જૂની ઓળખ છોડો, અને તે ઇશ્યુ કરનાર દ્વારા કરો: સર્ટિફિકેટ રદ કરો અથવા એકાઉન્ટમાંથી ડિવાઇસ દૂર કરો. ડાઉનલોડમાંથી ફાઇલ ભૂંસવાથી કંઈ પૂરું થતું નથી, કારણ કે એક જ સર્ટિફિકેટ ધરાવતા બે ડિવાઇસ સર્વર લોગમાં એકસરખા દેખાય છે.

જો એક્સપોર્ટ નોન-પોર્ટેબલ નીવડે, તો ઉપાય નવી નોંધણી છે, જાહેર કન્ફિગરેશન બંડલ નહીં. બીજા ડિવાઇસ માટે પ્રોફાઇલ માંગો, અથવા નવા ફોન પર કી જોડી જનરેટ કરીને CSR સબમિટ કરો; ધીમું છે, અને તે જ માર્ગ છે જેને ઇશ્યુ કરનાર સમર્થન આપે છે.

કંઈ ભૂંસતા પહેલાં ચેકલિસ્ટ ચલાવો: નવું ડિવાઇસ કનેક્ટ થાય છે, એગ્રેસ સરનામું અને DNS મેળ ખાય છે, દરેક એપ સ્કોપ તમે ઇચ્છ્યું તેવો છે, જૂની ઓળખ રદ થઈ છે, અને રાખેલી કોઈપણ કન્ફિગ ફાઇલ એન્ક્રિપ્ટેડ સ્ટોરેજમાં છે.