Շարժական VPN հաճախորդ առանց ադմինիստրատորի իրավունքների՝ ինչ է դեռ կոտրվում

Շարժականը նկարագրում է տեղադրիչը, ոչ միջուկը։ Հաճախորդը կարող է գալ որպես մեկ կատարվող ֆայլ USB կրիչի վրա և այնուամենայնիվ պահանջել թունելի սարք, գրառում երթուղիների աղյուսակում և գրառում լուծիչում, նախքան առաջին փաթեթը կշարժվի։ Թե այս երեքից որը թիրախ մեքենան թույլ կտա ձեզ դիպչել, որոշում է՝ այդ կառուցվածքն այնտեղ ընդհանրապես աշխատում է, թե ոչ։ Ստորև ստուգումները պատասխանում են հարցին այն հերթականությամբ, որով հաճախորդը կհանդիպի դրանց։

Շարժականությունը ծածկում է երեք տարբեր խոստում, և դրանցից միայն մեկն է անվճար

Տեղադրիչի բացակայությունը նշանակում է, որ մատակարարը ծառայություն չի գրանցել, ապատեղադրիչ չի ուղարկել և ընտրացանկի կետ չի ավելացրել։ Ադմինիստրատորի բացակայությունը նշանակում է, որ սովորական հաշիվը կարող է գործարկել հաճախորդը և ավարտել միացումը։ Հոսթում փոփոխության բացակայությունը նշանակում է, որ մեքենան նույնն է երևում ձեր դուրս գալուց հետո։ Շարժական ասող ներբեռնման էջերը սովորաբար խոստանում են դրանցից միայն առաջինը, իսկ մյուս երկուսն այն տեղն են, որտեղ տեղակայումները ձախողվում են։ Կառուցվածքը կարող է շարժական լինել նաև նեղ իմաստով. այն աշխատում է միայն կարդալու համար նախատեսված կրիչից՝ առանց կետային ֆայլերի ոչ մի գրառման, ինչը դեռ ոչինչ չի ասում ցանցային կույտի մասին։

Թանկ խոստումները երկրորդն ու երրորդն են։ Մեկ կատարվող ֆայլը, որը պահանջում է ադապտեր, երթուղի կամ գրառում լուծիչում, օպերացիոն համակարգից պահանջում է լիազորություն, որը շարժական պիտակը երբեք չի ծածկել։

Գտեք արտոնյալ օգնականին, որը կկանչի հաճախորդը

Գրեթե ոչ մի VPN հաճախորդ ինքնուրույն փաթեթներ չի տեղափոխում։ Windows-ում տվյալների ուղին անցնում է WFP զտիչներով և Base Filtering Engine-ով, macOS-ում՝ NetworkExtension մատակարարով, որը օգտվողը հաստատում է Համակարգի կարգավորումներում, իսկ Linux-ում՝ tun սարքով և երթուղավորման կույտով։ Ձեր պատճենած բինար ֆայլը այդ բաղադրիչների կառավարման մակերևույթն է, ոչ դրանց փոխարինողը։ Հարցրեք, թե որ բաղադրիչն է սպասում հաճախորդը, ապա հաստատեք, որ այն տեղադրված է, աշխատում է և հասանելի է ձեր հաշվին։

Linux-ը ամենահեշտ տեղն է դա ապացուցելու, որովհետև ստուգումը մեկ համակարգային կանչ է։ /dev/net/tun բացելը և միջուկից սարք խնդրելը պահանջում է CAP_NET_ADMIN, և միջուկի TUN/TAP փաստաթուղթը նշում է և՛ սեփականության կանոնը, և՛ կարողությունը։ Գործարկեք ստուգումը այն հաշվով, որը կգործարկի հաճախորդը, ոչ root-ով։

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Միջին տողի թույլտվության սխալը հենց այն պատասխանն է, որը փնտրում էիք. այս հաշիվը չի կարող ստեղծել թունելի ինտերֆեյս, ուստի ցանկացած օգտվողական տարածության հաճախորդ, որին այն պետք է, ձախողվում է միանալիս, ոչ ներբեռնելիս։ Վերջին տողը հեռացնում է փորձնական սարքը և ոչինչ չի տպում, երբ այն աշխատում է։ Եթե երկու տողերն էլ հաջողվեն, հոսթը ոչինչ մշտապես չի փոխել։

Փորձարկեք երթուղու և լուծիչի փոփոխությունները առաջին միացումից առաջ

Բաժանված թունելը միացումը դարձնում է երթուղավորման որոշում, իսկ ամբողջական թունելը՝ լռելյայն երթուղու փոխարինում։ Երկուսն էլ գրառումներ են հոսթի ցանցային կույտում, և երկուսն էլ ձախողվում են առանց արտոնության հաշվի դեպքում, նույնիսկ երբ հաճախորդն ինքը մաքուր է մեկնարկում։ Լուծիչը երրորդ գրառումն է, և systemd հոսթերում սովորաբար հենց այն է, որ կոտրվում է վերջինը։ Այդ հերթականությունը կարևոր է, երբ որոշում եք, թե որտեղ ծախսել բարձրացված տեղադրումը։

Երթուղու փորձարկմանը պետք է նպատակակետ, որն իսկապես կարևոր է ձեզ, ուստի ներքևի տեղապահի փոխարեն դրեք ձեր սեփական պրոֆիլից մի ենթացանց։ Սարքի անունը պետք է գոյություն ունենա, որպեսզի երթուղին կարողանա ինչ-որ բանի կցվել։

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Եթե առաջին տողը վերադարձնում է RTNETLINK answers: Operation not permitted, նշանակում է՝ հաշիվը չի կարող տեղադրել այն մասնավոր երթուղին, որը պահանջում է պրոֆիլը։ Երկրորդ տողը ապացուցում է նույն իրավունքը հակառակ ուղղությամբ, ինչը կարևոր է, որովհետև հաճախորդը, որը կարող է երթուղիներ ավելացնել, բայց չի կարող հեռացնել, հետևում թողնում է կոտրված աղյուսակ։ Այնուհետև լուծիչի հարցումը ցույց է տալիս՝ մասնավոր անունները լուծվում են թունելով, թե արտահոսում են այն լուծիչ, որին հոսթն արդեն վստահում է։

Գործարկեք բոլոր երեքը, քանի դեռ փորձնական սարքը գոյություն ունի, ապա ջնջեք այն։ Անհետացած սարքին ուղղված երթուղին ամենատարածված պատճառն է, թե ինչու նոութբուքը կորցնում է կապը ձախողված միացումից հետո։

Որոշեք, թե ինչ պետք է վերապրի նստաշրջանը

Պանակը ջնջելը մաքրման ծրագիր չէ։ Ադապտերները, երթուղիները, լուծիչի կարգավորումները, վստահելի սերտիֆիկատները և պահված հավատարմագրերը կարող են յուրաքանչյուրը վերապրել գործընթացը, և մեկնարկի ժամանակ աշխատող ծառայությունը կարող է դրանցից մի քանիսը վերականգնել առանց հարցնելու։ Գրեք, թե ինչ թույլատրվում է հաճախորդին թողնել իր հետևում, նախքան այն գործարկելը, ոչ թե առաջին ձախողված անջատումից հետո։

Գործնական կանոնն այն է, որ պատկերեք այն երեք մակերևույթները, որոնք պատրաստվում եք փոխել, և հետո համեմատեք դրանք։ Առաջին միացումից առաջ գրանցեք ինտերֆեյսները, հիմնական երթուղային աղյուսակը և լուծիչի վիճակը, ապա կրկնեք նույն երեք ընթերցումները, երբ հաճախորդը դուրս գա։

ip -brief addr show
ip route show table main
resolvectl status

Ամեն ինչ, որ կա երկրորդ որսում և բացակայում է առաջինում, պահանջում է տեր։ Կամ հաճախորդը հեռացնում է այն դուրս գալիս, կամ դուք հեռացնում եք այն նույն հրամաններով, որոնք ստեղծել են այն, և այդ հեռացումը պատկանում է տեղակայման նշումներին, ոչ թե ինչ-որ մեկի հիշողությանը, թե ինչ է պատահել։ Windows-ում համարժեք ընթերցումներն են Get-NetAdapter, Get-NetRoute և Get-DnsClientServerAddress, որոնք բարձրացում չեն պահանջում, բայց ցույց են տալիս նույն մնացորդները։