Администратор укуктары жок портативдик VPN кардары: дагы эмне бузулат

Портативдик дегени орноткучту сүрөттөйт, ядрону эмес. Кардар USB тармагында бир аткарылуучу файл катары келип, биринчи пакет кыймылдаардан мурун баары бир туннелдик түзмөк, маршруттар таблицасындагы жазуу жана чечүүчүгө жазуу талап кылышы мүмкүн. Бул үчөөнүн кайсынысына максаттуу машина тийүүгө уруксат берери ошол курулуштун ал жерде такыр иштешин аныктайт. Төмөнкү текшерүүлөр суроого кардар кезиге турган тартипте жооп берет.

Портативдик үч башка убаданы камтыйт, алардын бири гана акысыз

Орноткучтун жоктугу жеткирүүчү кызматты каттабаганын, өчүргүч жөнөтпөгөнүн жана меню пунктун кошпогонун билдирет. Администратордун жоктугу кадимки эсеп кардарды иштетип, байланышты бүтүрө аларын билдирет. Хосттун өзгөрбөшү чыккандан кийин машина ошондой эле көрүнөөрүн билдирет. Портативдик деп жазуучу жүктөө барактары адатта ошолордун биринчисин гана убада кылат, калган экөө жайылтуулар ийгиликсиз болгон жер. Курулуш тар мааниде да портативдик болушу мүмкүн: ал гана окулуучу ташуучудан чекит файлдарына эч кандай жазуусуз иштейт, бул тармактык стек жөнүндө эч нерсе айтпайт.

Кымбат убадалар — экинчиси жана үчүнчүсү. Адаптер, маршрут же чечүүчүгө жазууну талап кылган бир аткарылуучу файл операциялык системадан портативдик белги эч качан жаппаган ыйгарым укукту сурайт.

Кардар чакыра турган артыкчылыктуу жардамчыны табыңыз

Дээрлик эч бир VPN кардары пакеттерди өзү жылдырбайт. Windows'то маалымат жолу WFP чыпкалары жана Base Filtering Engine аркылуу, macOS'то колдонуучу Системанын жөндөөлөрүндө бекиткен NetworkExtension провайдери аркылуу, Linux'то tun түзмөгү жана маршруттоо стеги аркылуу өтөт. Көчүргөн бинардык файл — ошол компоненттердин башкаруу бети, алардын алмаштыргычы эмес. Кардар кайсы компонентти күткөнүн сураңыз, андан кийин анын орнотулганын, иштеп жатканын жана эсебиңизге жеткиликтүү экенин ырастаңыз.

Linux бул ойду далилдөө үчүн эң жеңил жер, анткени текшерүү бир системалык чакыруу. /dev/net/tun ачуу жана ядродон түзмөк суроо CAP_NET_ADMIN талап кылат, ал эми ядронун TUN/TAP документтери ээлик эрежесин да, мүмкүнчүлүктү да көрсөтөт. Текшерүүнү кардарды иштете турган эсеп менен аткарыңыз, root катары эмес.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Ортоңку саптагы уруксат катасы — сиз издеген жооп: бул эсеп туннелдик интерфейс түзө албайт, ошондуктан ага муктаж болгон ар кандай колдонуучу мейкиндигиндеги кардар жүктөөдө эмес, туташууда ийгиликсиз болот. Акыркы сап сыноо түзмөгүн алып салат жана ал иштегенде эч нерсе басып чыгарбайт. Эгер эки сап тең ийгиликтүү болсо, хост туруктуу эч нерсени өзгөрткөн жок.

Биринчи туташуудан мурун маршрут жана чечүүчү өзгөрүүлөрүн текшериңиз

Бөлүнгөн туннель туташууну маршруттоо чечимине айландырат, ал эми толук туннель аны демейки маршрутту алмаштырууга айландырат. Экөө тең хосттун тармактык стегине жазуу, жана экөө тең артыкчылыгы жок эсеп үчүн ийгиликсиз болот, кардар өзү таза башталса да. Чечүүчү — үчүнчү жазуу, ал эми systemd хостторунда адатта эң акыркы бузулган ошол. Бул тартип жогорулатылган орнотууну кайда жумшаарыңызды чечкенде маанилүү.

Маршрут сыноосу сизге чындап маанилүү болгон максатты талап кылат, ошондуктан төмөнкү орун толтургучтун ордуна өз профилиңизден ички тармак коюңуз. Маршрут бир нерсеге илиниши үчүн түзмөктүн аты болушу керек.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Эгер биринчи сап RTNETLINK answers: Operation not permitted кайтарса, эсеп профиль талап кылган жеке маршрутту орното албайт. Экинчи сап ошол эле укукту тескерисинче далилдейт, бул маанилүү, анткени маршруттарды кошо алган, бирок алып сала албаган кардар артында бузулган таблица калтырат. Андан кийин чечүүчү суроосу жеке аттардын туннель аркылуу чечилерин же хост мурунтан ишенген чечүүчүгө агып кетишин көрсөтөт.

Сыноо түзмөгү бар кезде үчөөнү тең аткарыңыз, андан кийин аны өчүрүңүз. Жоголгон түзмөккө багытталган маршрут — ийгиликсиз туташуудан кийин ноутбуктун байланышын жоготуусунун эң кеңири тараган себеби.

Сессиядан эмне аман калышы керектигин чечиңиз

Папканы өчүрүү — тазалоо планы эмес. Адаптерлер, маршруттар, чечүүчү жөндөөлөрү, ишенимдүү сертификаттар жана сакталган каттоо маалыматтарынын ар бири процесстен узак жашашы мүмкүн, ал эми жүктөлүү учурундагы кызмат алардын кээ бирин сурабастан калыбына келтириши мүмкүн. Кардарга эмнени калтырууга уруксат экенин аны иштетээрден мурун жазыңыз, биринчи ийгиликсиз ажыратуудан кийин эмес.

Практикалык эреже — өзгөртүүгө даярданып жаткан үч беттин сүрөтүн тартып, кийин аларды салыштыруу. Биринчи туташуудан мурун интерфейстерди, негизги маршруттоо таблицасын жана чечүүчү абалын жазыңыз, андан кийин кардар чыккандан кийин ошол эле үч окууну кайталаңыз.

ip -brief addr show
ip route show table main
resolvectl status

Экинчи тартууда бар жана биринчисинде жок нерсенин ээси болушу керек. Же кардар аны чыкканда алып салат, же сиз аны жараткан ошол эле буйруктар менен алып саласыз, жана бул алып салуу жайылтуу жазууларында болушу керек, бирөөнүн эмне болгону тууралуу эсинде эмес. Windows'то барабар окуулар — Get-NetAdapter, Get-NetRoute жана Get-DnsClientServerAddress, алар артыкчылыкты талап кылбайт, бирок ошол эле калдыктарды көрсөтөт.