Android VPN útflutningur: hvað flyst raunverulega í nýjan síma
Android VPN útflutningur sendir stillingar og stundum lykil, en aldrei heimild tækisins. Athugaðu hvað flyst raunverulega áður en þú hreinsar gamla símann.
Að flytja VPN snið út úr Android virðist eins og öryggisafritsskref, og valmyndin sem býður það upp gerir ekkert til að leiðrétta þá tilfinningu. Það sem þú ferð út með er inntak fyrir þáttara, lykill sem stýrikerfið kann aldrei að skila, og heimild sem gefin var út fyrir þennan tiltekna síma. Aðskildu þessa þrjá og gagnlega spurningin birtist: hvaða hluti vantar enn á nýja tækið?
Skráin er auðveldi hlutinn. Hinir tveir ráða því hvort flutningurinn virkar.
Hvað útflutt snið inniheldur í raun
Opnaðu skrána í textaritli áður en þú treystir henni. OpenVPN snið er lítil stillingamál: remote, proto, data-ciphers og oft innfelldir <ca>, <cert>, <key> eða <tls-crypt> blokkir sem biðlarinn afhendir TLS stakkanum sínum. WireGuard stilling er flatari: [Interface] heldur PrivateKey og Address, síðan einn [Peer] fyrir hvern endapunkt með PublicKey, AllowedIPs og Endpoint. IKEv2 kemur sem .mobileconfig með nytsamsendingarorðabókum í stað lyklablokka.
Ekkert af þessum texta er skilríki út af fyrir sig. Skilríkin eru einkalykillinn, og hvert snið límir hann inn eða vísar á samheiti sem leysist aðeins inni í biðlinum sem bjó hann til.
Hvar lykillinn býr í raun á Android
Android geymir forritagögn undir /data/data/<package>, lesanleg af UID þess forrits einu. Það er engin studd leið til að afrita einkamöppu annars forrits af síma án root, og adb backup hætti að vera almenn lausn eftir að Android 12 aflétti því og biðlarar byrjuðu að lýsa allowBackup="false". Þannig að útflutningur frá Android biðlara þýðir það sem sá biðlari útfærir, ekki afrit af skráakerfinu.
Auðkenningarlagið liggur undir forritinu. Ef biðlari flutti lykilinn þinn inn í Android Keystore er efnið búið til eða vafið þar, og síðari útflutningar geta borið tilvísun í Keystore samheiti í stað bæta. Vélbúnaðarstuddir lyklar eru byggðir þannig að jafnvel eigið forrit getur ekki lesið þá út, eins og Keystore documentation lýsir, svo snið sem vísar á það samheiti flyst hreint inn á sama síma og mistekst alls staðar annars staðar.
Þetta er ekki brotinn útflutningur. Þetta er eiginleikinn sem beðið var um að pallurinn veitti.
Hvað snið getur ekki borið yfir
Stilltu hlutunum upp á móti því sem áfangastaður mun samþykkja:
| Hlutur | Flyst? | Af hverju |
|---|---|---|
| Samskiptareglur og endapunktur | Já, ef biðlari áfangastaðar skilur það | Venjulegur texti í sniðinu |
| CA skilríki og hýsilnafnsprófun | Venjulega | Opinbert efni, en hýsilnafnið verður samt að passa við skilríkið |
| Biðlaraskilríki | Já, nema það sé bundið við hvert tæki | Skilríki eru flytjanleg; útgefandinn ræður hversu mörg tæki mega nota eitt |
| Einkalykill | Aðeins ef búinn til utan Keystore | Vélbúnaðarstuddir lyklar er ekki hægt að flytja út, aðeins skipta út |
| Reikningur, MFA, SSO lota | Nei | Tákn renna út og haldast bundin tækinu sem fékk þau |
| Leiðir, DNS og forritasvið | Aðeins sem stillingartexti | Android beitir þeim við tengingu gegnum VpnService.Builder |
| Forritalisti fyrir klofinn göng | Sjaldan | Pakkanöfn eru mismunandi milli tækja, og listinn er staða biðlarans |
Tvær raðir valda mestu ruglingi. Lykill sem búinn er til á tækinu og merktur óflytjanlegur hverfur sannarlega með forritagögnunum, svo staðgengillinn er nýr lykill auk skilríkis sem gefið er út fyrir hann. Lotutákn sem afritað er í nýjan síma deyr venjulega við fyrstu endurnýjun, sem les eins og misheppnaður innflutningur.
Innflutningur er þáttun og síðan samþykkisbeiðni
Á móttökuhlið er innflutningur þáttun sem fylgir skráning. Biðlarinn les stillinguna, athugar að hver tilvísandi blokkur sé til, og skrifar síðan gönguskilgreininguna í eigin sandkassa, sem er ástæðan fyrir því að skráin sem þú valdir úr Niðurhalinu er ekki það sem tengist á eftir.
Síðan kemur heimildarskref sem engin skrá getur sleppt. Android krefst þess að forritið kalli VpnService.prepare() og fái samþykki þitt áður en það má koma á göngum, svo nýinnflutt snið sýnir samt kerfisskjalinn einu sinni. Síðan er göngunum byggt skýrt gegnum addAddress, addRoute, addDnsServer og addAllowedApplication eða addDisallowedApplication fyrir leiðsögn per forrit. Ekkert þessara er gefið út frá endapunkti, svo sama snið getur framleitt mismunandi virka leiðasafn í tveimur biðlurum.
Skilríkjabundnar uppsetningar bæta við einni kvísl. Þegar þjónninn gefur út skilríki fyrir tiltekið tæki, eins og MDM og SCEP skráning gera, virkar endurnotkun þess á öðrum síma annað hvort þar til þjónninn krefst einnar lotu á hverja auðkenningu eða mistekst í TLS handabandi. Athugaðu stefnu útgefandans áður en þú ætlar að endurnota.
Sannreyndu nýja tækið áður en þú setur það gamla í varðhald
Haltu gamla símanum tengdum þar til nýi hefur staðið betra próf en grænt tákn. Staðfestu útgangsfangið frá nýja tækinu og DNS leysinn sem það notaði í raun. Ef split tunneling skiptir máli skaltu ræsa forrit sem á að fara fram hjá göngunum og eitt sem á ekki að gera það, og sjá hvort nær þjónustuveitandanum þínum.
Ein athugun ræður útgangsfanginu. Opnaðu https://ifconfig.me í vafra símans, keyrðu svo curl -s https://ifconfig.me frá fartölvu á sama Wi-Fi og berðu bæði svörin saman við fangið sem veitandinn þinn úthlutaði.
Aðeins þá setur þú gamla auðkennið í varðhald, og gerðu það gegnum útgefandann: afturkallaðu skilríkið eða fjarlægðu tækið af reikningnum. Að eyða skrá úr Niðurhalinu lýkur engu, því tvö tæki með sama skilríki líta eins út í þjónnarskrá.
Ef útflutningurinn reynist ekki flytjanlegur er lausnin ný skráning frekar en opinbert stillingabúnt. Biddu um snið fyrir annað tæki, eða búðu til lykilparið á nýja símanum og sendu CSR; hægara, og það er leiðin sem útgefandinn styður.
Farðu yfir gátlistann áður en þú eyðir einhverju: nýtt tæki tengist, útgangsfang og DNS stemma, forritasvið er eins og þú ætlaðir, gamalt auðkenni er afturkallað, og sérhver stillingarskrá sem þú geymdir er í dulkóðuðu geymslu.