Hordozható VPN-kliens rendszergazdai jogok nélkül: mi törik még mindig

A hordozható a telepítőt írja le, nem a kernelt. Egy kliens érkezhet egyetlen futtatható fájlként USB-n, és mégis szüksége lehet alagúteszközre, az útvonaltábla bejegyzésére és a feloldóba írásra, mielőtt az első csomag elmozdul. Hogy e három közül melyiket engedi megérinteni a célgép, eldönti, működik-e egyáltalán ott az a build. Az alábbi vizsgálatok abban a sorrendben válaszolnak a kérdésre, ahogy a kliens találkozik velük.

A hordozható három különböző ígéretet fed le, és csak egy ingyenes

Telepítő nélkül azt jelenti, hogy a szállító nem regisztrált szolgáltatást, nem adott eltávolítót, és nem adott menübejegyzést. Rendszergazda nélkül azt jelenti, hogy egy közönséges fiók el tudja indítani a klienst és be tud fejezni egy kapcsolatot. Hosztváltozás nélkül azt jelenti, hogy a gép ugyanúgy néz ki, miután kilép. A hordozható szót használó letöltési oldalak általában csak az elsőt ígérik ezek közül, a másik kettő pedig az a pont, ahol a telepítések elbuknak. Egy build szűkebb értelemben is hordozható lehet: csak olvasható adathordozóról fut, pontfájl-írás nélkül, ami még mindig semmit nem mond a hálózati veremről.

A drága ígéretek a második és a harmadik. Egyetlen futtatható fájl, amelynek adapterre, útvonalra vagy feloldóba írásra van szüksége, olyan jogosultságot kér az operációs rendszertől, amelyet a hordozható címke soha nem fedett.

Keresse meg a kiváltságos segédet, amelyet a kliens hívni fog

Szinte egyetlen VPN-kliens sem mozgat csomagokat magától. Windows alatt az adatút WFP-szűrőkön és a Base Filtering Engine szolgáltatáson halad át, macOS alatt egy NetworkExtension-szolgáltatón, amelyet a felhasználó a Rendszerbeállításokban hagy jóvá, Linux alatt pedig egy tun-eszközön és az útválasztási vermen. A lemásolt bináris fájl ezeknek az összetevőknek a vezérlőfelülete, nem a helyettesítőjük. Kérdezze meg, melyik összetevőt várja a kliens, majd erősítse meg, hogy telepítve van, fut, és a fiókja használhatja.

A Linux a legkönnyebb hely az állítás bizonyítására, mert az ellenőrzés egyetlen rendszerhívás. A /dev/net/tun megnyitása és eszköz kérése a kerneltől CAP_NET_ADMIN szükséges hozzá, és a kernel TUN/TAP dokumentációja a tulajdonjogi szabályt és a képességet is megadja. Futtassa a vizsgálatot azzal a fiókkal, amely elindítja a klienst, ne rootként.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Egy engedélyhiba a középső sorban az a válasz, amelyet keresett: ez a fiók nem tud alagút-interfészt létrehozni, ezért minden felhasználói térben futó kliens, amelynek ilyenre van szüksége, csatlakozáskor bukik el, nem letöltéskor. Az utolsó sor eltávolítja a tesztaeszközt, és semmit nem ír ki, ha működik. Ha mindkét sor sikerül, a hoszt nem változtatott semmit tartósan.

Tesztelje az útvonal és a feloldó változásait az első kapcsolat előtt

Az osztott alagút kapcsolattá alakítja az útválasztási döntést, míg a teljes alagút az alapértelmezett útvonal helyettesítésévé teszi. Mindkettő írás a hoszt hálózati vermébe, és mindkettő elbukik nem kiváltságos fiók esetén, akkor is, ha maga a kliens tisztán indul. A feloldó a harmadik írás, és systemd-hoszton általában ez törik el utoljára. Ez a sorrend számít, amikor eldönti, hová költse a megemelt telepítést.

Az útvonal-vizsgálathoz olyan cél kell, amely valóban számít Önnek, ezért a lenti helyőrzőt cserélje ki a saját profiljából származó alhálózatra. Az eszköz nevének léteznie kell ahhoz, hogy az útvonal bármihez kapcsolódhasson.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Ha az első sor RTNETLINK answers: Operation not permitted ad vissza, az azt jelenti, hogy a fiók nem tudja telepíteni a profil által megkövetelt privát útvonalat. A második sor ugyanezt a jogot fordítva bizonyítja, ami azért számít, mert az a kliens, amely útvonalakat tud hozzáadni, de eltávolítani nem, törött táblát hagy maga után. A feloldó lekérdezése ezután megmutatja, hogy a privát nevek az alagúton keresztül oldódnak-e fel, vagy szivárognak ahhoz a feloldóhoz, amelyben a hoszt már megbízik.

Futtassa mindhármat, amíg a tesztaeszköz még létezik, majd törölje. Az eltűnt eszközre mutató útvonal a leggyakoribb oka annak, hogy egy laptop elveszíti a kapcsolatot egy sikertelen csatlakozás után.

Döntse el, minek kell túlélnie a munkamenetet

A mappa törlése nem takarítási terv. Az adapterek, útvonalak, feloldóbeállítások, megbízható tanúsítványok és tárolt hitelesítő adatok mindegyike túlélheti a folyamatot, és egy indításkori szolgáltatás néhányat visszaállíthat kérdezés nélkül. Írja le, mit hagyhat maga után a kliens, mielőtt futtatja, ne az első sikertelen leválasztás után.

A gyakorlati szabály az, hogy pillanatképet készítsen a három felületről, amelyet módosítani fog, és utána hasonlítsa össze őket. Rögzítse az interfészeket, a fő útválasztási táblát és a feloldó állapotát az első kapcsolat előtt, majd ismételje meg ugyanazt a három olvasást, miután a kliens kilépett.

ip -brief addr show
ip route show table main
resolvectl status

Minden, ami a második felvételen jelen van és az elsőből hiányzik, gazdát igényel. Vagy a kliens eltávolítja kilépéskor, vagy Ön távolítja el ugyanazokkal a parancsokkal, amelyek létrehozták, és ez az eltávolítás a telepítési jegyzetekbe tartozik, nem valakinek az emlékezetébe arról, mi történt. Windows alatt az egyenértékű olvasások a Get-NetAdapter, Get-NetRoute és Get-DnsClientServerAddress, amelyek nem igényelnek emelést, de ugyanazokat a maradványokat mutatják.