Android पर VPN प्रमाणपत्र आयात करने और कुंजी सत्यापित करने का तरीका

Android पर VPN क्लाइंट प्रमाणपत्र आयात करने में कुछ मिनट लगते हैं। यह जाँचने में कि वह सही जगह पहुँचा है, अधिक समय लगता है, और यही वह हिस्सा है जिसे ज़्यादातर लोग इंस्टॉल संवाद के सफलता कहने के बाद छोड़ देते हैं। सफलता संदेश का मतलब केवल यह है कि फ़ाइल पार्स हो गई। यह नहीं बताता कि निजी कुंजी किस प्रदाता के पास है या कोई प्रति अभी भी आपके Downloads फ़ोल्डर में पड़ी है या नहीं।

चरण 1: P12 को आपकी मशीन छोड़ने से पहले पढ़ें

फ़ाइल से ही शुरू करें। यदि आप उसके अंदर का विषय, जारीकर्ता और समाप्ति तिथि नहीं बता सकते, तो आप ऐसा कुछ आयात कर रहे हैं जिसे बाद में सत्यापित नहीं कर पाएँगे।

PKCS#12 बंडल में आम तौर पर क्लाइंट प्रमाणपत्र, उसकी निजी कुंजी और जारीकर्ता श्रृंखला होती है। openssl pkcs12 -in client.p12 -info -noout कुंजी सामग्री बाहर निकाले बिना MAC और एन्क्रिप्शन एल्गोरिदम छापता है, इसलिए आप देख सकते हैं कि बंडल पासवर्ड से सुरक्षित है या नहीं और किस साइफ़र से। इसके बाद keytool -list -v -keystore client.p12 -storetype PKCS12 चलाएँ ताकि उपनाम, SHA-256 फ़िंगरप्रिंट और फ़ोन से तुलना करने वाली वैधता अवधि मिल सके।

पासवर्ड फ़ाइल से अलग चैनल से भेजें, या फ़ाइल को ऐसे प्रबंधित वितरण प्रवाह में सौंपें जो पीछे कोई प्रति न छोड़े। उसी चैट संदेश में संग्रह के साथ चिपकाया गया पासवर्ड दो नियंत्रणों को एक बना देता है।

चरण 2: इसे उसी स्लॉट में इंस्टॉल करें जिसे VPN ऐप वास्तव में पढ़ता है

स्टॉक Android 11 से 14 पर रास्ता सेटिंग्स, सुरक्षा, एन्क्रिप्शन और क्रेडेंशियल, प्रमाणपत्र इंस्टॉल करें, फिर VPN और ऐप उपयोगकर्ता प्रमाणपत्र से गुजरता है। शब्दावली और नेस्टिंग रिलीज़ और निर्माता स्किन के बीच बदलती है, इसलिए याद किए गए मेनू स्थान के बजाय क्रेडेंशियल प्रकार के लेबल का पालन करें। कार्य प्रोफ़ाइल में कार्य पक्ष के अंदर से इंस्टॉल करें, क्योंकि क्रेडेंशियल प्रोफ़ाइल सीमा पार नहीं करते।

क्लाइंट पहचान को CA प्रमाणपत्र स्लॉट में न रखें। वह स्लॉट उपयोगकर्ता के विश्वास भंडार को खिलाता है, और Android 7 से ऐप्स उपयोगकर्ता द्वारा जोड़े गए CA को अनदेखा करते हैं जब तक उनका नेटवर्क सुरक्षा कॉन्फ़िगरेशन अनुमति न दे, इसलिए वहाँ रखा क्लाइंट प्रमाणपत्र VPN कुंजी चयनकर्ता में कभी नहीं दिखता।

कुछ VPN क्लाइंट सिस्टम भंडार को कभी नहीं छूते और इसके बजाय P12 को अपनी ऐप निर्देशिका में आयात करते हैं। यह वैध डिज़ाइन है, लेकिन हर बाद के चरण को बदल देता है: कुंजी अब ऐप सैंडबॉक्स के अंतर्गत रहती है और ठीक उतनी मज़बूत है जितना वह ऐप अपने भंडारण को संभालता है। KeyChain के खेल में होने की मान्यता से पहले क्लाइंट दस्तावेज़ देखें।

चरण 3: सिद्ध करें कि कौन सा प्रदाता कुंजी रखता है

आयात पार्सिंग की पुष्टि करता है, हार्डवेयर समर्थन की नहीं। Android 12 और बाद में, KeyInfo.getSecurityLevel() बताता है कि कोई कुंजी विश्वसनीय निष्पादन वातावरण में, StrongBox में या सॉफ़्टवेयर में है, और यह पुराने isInsideSecureHardware() कॉल का स्थान लेता है। यदि VPN क्लाइंट वह मान नहीं दिखाता, तो चरण 1 का फ़िंगरप्रिंट आपका विकल्प है। आयात के दौरान फिर से एन्कोड किया गया प्रमाणपत्र बाइट दर बाइट नहीं मिलेगा, पर सार्वजनिक कुंजी और विषय अभी भी मिलेंगे।

निर्यात न करने योग्य होना अनुपयोगी होने के बराबर नहीं है। जो कुंजी डिवाइस नहीं छोड़ सकती, उसे अभी भी कोई भी ऐप उपयोग कर सकता है जिसे उपयोगकर्ता उस उपनाम को चुनने का अधिकार देता है, और इसीलिए उपनाम का संकेत असली नियंत्रण है, औपचारिकता नहीं। Android Keystore दस्तावेज़ एक बार पढ़ने योग्य है यदि आप वह डिज़ाइन निर्णय ले रहे हैं।

फिर उन प्रतियों का हिसाब रखें जो आपने बनाईं। आपके लैपटॉप पर पड़ा P12, टिकट के अनुलग्नक वाला और पिछले महीने के बैकअप वाला — सभी वैध पहचान हैं जब तक जारीकर्ता उन्हें निरस्त न कर दे। फ़ोन पर मौजूद प्रतिरूप की हार्डवेयर सुरक्षा उनके लिए कुछ नहीं करती।

चरण 4: पता लगाएँ कि स्क्रीन लॉक की आवश्यकता किसकी है

यहाँ तीन रहस्य उलझ जाते हैं: डिवाइस अनलॉक PIN, निजी कुंजी का पासफ़्रेज़ और VPN खाते का पासवर्ड। किसी एक के लिए संकेत कभी बाकी को रीसेट करने का अनुरोध नहीं होता, और गलत को रीसेट करना ही वह तरीका है जिससे लोग एक ऐसी प्रोफ़ाइल से बाहर लॉक हो जाते हैं जो ठीक चल रही थी।

जब डिवाइस प्रशासक या प्रबंधित प्रोफ़ाइल नीति लॉक माँगती है, तो आवश्यकता उस नीति की होती है, प्रमाणपत्र की नहीं। adb shell dumpsys device_policy सक्रिय प्रशासकों और उनके द्वारा लागू पासवर्ड गुणवत्ता को सूचीबद्ध करता है, जो यह देखने का सबसे तेज़ तरीका है कि आपके PIN नियम बदलने का कारण MDM एजेंट है या नहीं। प्रमाणपत्र हटाने से नीति ढीली नहीं होगी, और नीति हटाना सेटिंग्स की मरम्मत नहीं, प्रशासनिक निर्णय है।

उपयोगिता में समझौते की भी अपेक्षा करें। यदि कुंजी उपयोगकर्ता प्राधिकरण माँगती है, तो पहले अनलॉक से पहले टनल ऊपर नहीं आ सकती, इसलिए निर्धारित सिंक और दूरस्थ जागरण डिज़ाइन से विफल होते हैं। यह तैनाती से पहले तय करें, बाद में नहीं।

locksettings.db को संपादित करने या भूले हुए पैटर्न का पुराना उपाय दोबारा चलाने के शॉर्टकट से बचें। वे रूटीन विशिष्ट बिल्ड के लिए लिखे गए थे, वे क्रेडेंशियल भंडार को ऐसी स्थिति में छोड़ सकते हैं जिसकी फ़्रेमवर्क अब अपेक्षा नहीं करता, और वे उस नीति को कभी नहीं बदलते जिसने शुरू में लॉक माँगा था।

चरण 5: पहचान को सेवानिवृत्त करें और इनकार सत्यापित करें

सेवानिवृत्ति के तीन भाग हैं और केवल पहला स्थानीय है। VPN प्रोफ़ाइल हटाएँ, सेटिंग्स, सुरक्षा, एन्क्रिप्शन और क्रेडेंशियल, उपयोगकर्ता क्रेडेंशियल के अंतर्गत उपयोगकर्ता प्रमाणपत्र हटाएँ, फिर जारीकर्ता से प्रमाणपत्र का क्रमांक निरस्त करवाएँ। केवल स्थानीय हटाना ऐसा क्रेडेंशियल छोड़ देता है जिसे सर्वर अभी भी स्वीकार करता है यदि किसी ने P12 रखा हो।

मानने के बजाय परिणाम सत्यापित करें। सेवानिवृत्त प्रोफ़ाइल से कनेक्शन आज़माएँ और पुष्टि करें कि सर्वर उसे अस्वीकार करता है। जो टनल अभी भी ऊपर आता है उसका अर्थ है कि आपने गलत क्रमांक निरस्त किया या क्लाइंट चुपचाप किसी अन्य स्थापित पहचान पर लौट गया।

यदि आप विफल आयात को वापस लोल रहे हैं, तो मूल एन्क्रिप्टेड बंडल से फिर आयात करें और डिस्क पर छोड़ी गई डिक्रिप्टेड कुंजी फ़ाइल दोबारा उपयोग करने के बजाय फ़िंगरप्रिंट फिर जाँचें।