პორტატული VPN კლიენტი ადმინისტრატორის უფლებების გარეშე: რა მაინც ტყდება

პორტატული ინსტალატორს აღწერს და არა ბირთვს. კლიენტი შეიძლება მოვიდეს როგორც ერთი შესრულებადი ფაილი USB-ზე და მაინც დასჭირდეს გვირაბის მოწყობილობა, ჩანაწერი მარშრუტების ცხრილში და ჩაწერა გამხსნელში, სანამ პირველი პაკეტი მოძრაობს. ამ სამიდან რომელს მოგცემთ სამიზნე მანქანა შეხების უფლებას, განსაზღვრავს, საერთოდ მუშაობს თუ არა ის აწყობა იქ. ქვემოთ მოცემული შემოწმებები პასუხობს კითხვას იმ თანმიმდევრობით, რომლითაც კლიენტი მათ წააწყდება.

პორტატულობა სამ განსხვავებულ დაპირებას მოიცავს და მხოლოდ ერთია უფასო

ინსტალატორის არარსებობა ნიშნავს, რომ მომწოდებელმა არ დაარეგისტრირა სერვისი, არ გამოგზავნა დეინსტალატორი და არ დაამატა მენიუს პუნქტი. ადმინისტრატორის არარსებობა ნიშნავს, რომ ჩვეულებრივ ანგარიშს შეუძლია კლიენტის გაშვება და კავშირის დასრულება. ჰოსტში ცვლილების არარსებობა ნიშნავს, რომ მანქანა გასვლის შემდეგ იდენტურად გამოიყურება. გადმოტვირთვის გვერდები, რომლებიც ამბობენ პორტატული, ჩვეულებრივ მხოლოდ პირველს ჰპირდებიან, დანარჩენი ორი კი ის ადგილია, სადაც გაშლები ფარდება. აწყობა შეიძლება პორტატული იყოს ვიწრო გაგებითაც: მუშაობს მხოლოდ-წაკითხვის მატარებლიდან წერტილოვანი ფაილების ყოველგვარი ჩაწერის გარეშე, რაც ჯერ კიდევ არაფერს ამბობს ქსელურ დასტაზე.

ძვირი დაპირებები მეორე და მესამეა. ერთი შესრულებადი ფაილი, რომელსაც სჭირდება ადაპტერი, მარშრუტი ან ჩაწერა გამხსნელში, ოპერაციულ სისტემას სთხოვს უფლებამოსილებას, რომელიც პორტატული იარლიყმა არასდროს დაფარა.

იპოვეთ პრივილეგირებული დამხმარე, რომელსაც კლიენტი გამოიძახებს

თითქმის არცერთი VPN კლიენტი თვითონ არ ამოძრავებს პაკეტებს. Windows-ზე მონაცემთა გზა გადის WFP ფილტრებზე და Base Filtering Engine-ზე, macOS-ზე NetworkExtension პროვაიდერზე, რომელსაც მომხმარებელი ამტკიცებს სისტემის პარამეტრებში, ხოლო Linux-ზე tun მოწყობილობასა და მარშრუტიზაციის დასტაზე. თქვენ მიერ კოპირებული ბინარული ფაილი ამ კომპონენტების მართვის ზედაპირია და არა მათი შემცვლელი. ჰკითხეთ, რომელ კომპონენტს ელოდება კლიენტი, შემდეგ დაადასტურეთ, რომ ის დაინსტალირებულია, მუშაობს და თქვენი ანგარიშისთვის გამოსაყენებელია.

Linux ყველაზე იოლი ადგილია ამის დასამტკიცებლად, რადგან შემოწმება ერთი სისტემური გამოძახებაა. /dev/net/tun-ის გახსნას და ბირთვისგან მოწყობილობის მოთხოვნას სჭირდება CAP_NET_ADMIN, და ბირთვის TUN/TAP დოკუმენტაცია აღნიშნავს როგორც საკუთრების წესს, ისე შესაძლებლობას. გაუშვით შემოწმება იმ ანგარიშით, რომელიც კლიენტს გაუშვებს, და არა root-ით.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

შუა სტრიქონზე უფლების შეცდომა სწორედ ის პასუხია, რომელსაც ეძებდით: ამ ანგარიშს არ შეუძლია გვირაბის ინტერფეისის შექმნა, ამიტომ ნებისმიერი მომხმარებლის სივრცის კლიენტი, რომელსაც ის სჭირდება, ვარდება დაკავშირებისას და არა გადმოტვირთვისას. ბოლო სტრიქონი შლის სატესტო მოწყობილობას და არაფერს ბეჭდავს, როცა მუშაობს. თუ ორივე სტრიქონი წარმატებულია, ჰოსტს მუდმივად არაფერი შეუცვლია.

შეამოწმეთ მარშრუტისა და გამხსნელის ცვლილებები პირველ დაკავშირებამდე

გაყოფილი გვირაბი კავშირს მარშრუტიზაციის გადაწყვეტილებად აქცევს, სრული გვირაბი კი — ნაგულისხმევი მარშრუტის ჩანაცვლებად. ორივე ჩაწერაა ჰოსტის ქსელურ დასტაში და ორივე ვარდება პრივილეგიის გარეშე ანგარიშისთვის, მაშინაც კი, როცა თავად კლიენტი სუფთად იწყებს. გამხსნელი მესამე ჩაწერაა და systemd ჰოსტებზე ჩვეულებრივ სწორედ ის ტყდება ბოლოს. ეს რიგი მნიშვნელოვანია, როცა წყვეტთ, სად დახარჯოთ გაზრდილი ინსტალაცია.

მარშრუტის შემოწმებას სჭირდება დანიშნულება, რომელიც ნამდვილად გაღელვებთ, ამიტომ ქვემოთ მოცემული დამჭერის ნაცვლად ჩასვით ქვექსელი თქვენივე პროფილიდან. მოწყობილობის სახელი უნდა არსებობდეს, რომ მარშრუტმა რაღაცას მიეკრას.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

თუ პირველი სტრიქონი აბრუნებს RTNETLINK answers: Operation not permitted-ს, ნიშნავს, რომ ანგარიშს არ შეუძლია იმ კერძო მარშრუტის დაყენება, რომელსაც პროფილი ითხოვს. მეორე სტრიქონი იმავე უფლებას უკუღმა ამტკიცებს, რაც მნიშვნელოვანია, რადგან კლიენტი, რომელსაც მარშრუტების დამატება შეუძლია და წაშლა არა, უკან გატეხილ ცხრილს ტოვებს. შემდეგ გამხსნელის მოთხოვნა გვიჩვენებს, კერძო სახელები გვირაბის გავლით წყდება თუ ჟონავს იმ გამხსნელთან, რომელსაც ჰოსტი უკვე ენდობა.

გაუშვით სამივე, სანამ სატესტო მოწყობილობა ჯერ კიდევ არსებობს, შემდეგ წაშალეთ ის. გაუჩინარებულ მოწყობილობაზე მიმთითებელი მარშრუტი ყველაზე გავრცელებული მიზეზია იმისა, თუ რატომ კარგავს ლეპტოპი კავშირს წარუმატებელი დაკავშირების შემდეგ.

გადაწყვიტეთ, რა უნდა გადარჩეს სესიას

საქაღალდის წაშლა გაწმენდის გეგმა არ არის. ადაპტერებს, მარშრუტებს, გამხსნელის პარამეტრებს, სანდო სერტიფიკატებსა და შენახულ საიდენტიფიკაციო მონაცემებს თითოეულს შეუძლია პროცესზე დიდხანს იცოცხლოს, და ჩატვირთვის დროის სერვისმა შეიძლება ზოგიერთი მათგანი ჰკითხვის გარეშე აღადგინოს. ჩაწერეთ, რისი დატოვება შეუძლია კლიენტს, სანამ გაუშვებთ, და არა პირველი წარუმატებელი გათიშვის შემდეგ.

პრაქტიკული წესია გადაიღოთ სამი ზედაპირის სურათი, რომელთა შეცვლასაც აპირებთ, და შემდეგ შეადაროთ ისინი. პირველ დაკავშირებამდე ჩაწერეთ ინტერფეისები, მთავარი მარშრუტიზაციის ცხრილი და გამხსნელის მდგომარეობა, შემდეგ გაიმეორეთ იგივე სამი კითხვა, როცა კლიენტი გავა.

ip -brief addr show
ip route show table main
resolvectl status

ყველაფერს, რაც მეორე აღებაშია და პირველში არ არის, მფლობელი სჭირდება. ან კლიენტი შლის მას გასვლისას, ან თქვენ შლით იმავე ბრძანებებით, რომლებმაც ის შექმნეს, და ეს წაშლა განლაგების შენიშვნებში უნდა იყოს და არა ვიღაცის მეხსიერებაში იმის შესახებ, რაც მოხდა. Windows-ზე ეკვივალენტური კითხვებია Get-NetAdapter, Get-NetRoute და Get-DnsClientServerAddress, რომლებსაც გაზრდა არ სჭირდება, მაგრამ იგივე ნაშთებს აჩვენებს.