Portabel VPN-Client ouni Administrateursrechter: wat nach ëmmer briecht

Portabel beschreift den Installateur, net de Kernel. E Client kann als eng eenzeg ausféierbar Datei op engem USB-Stick kommen an trotzdem en Tunnelgerät, en Entrag an der Routentabelle an eng Schreiwen an den Resolver brauchen, ier sech dat éischt Paket beweegt. Wat vun deenen dräi d'Zielmaschinn Iech unzéien erlaabt, entscheet, ob dëse Build do iwwerhaapt funktionéiert. D'Prüfungen hei drënner beäntweren d'Fro an der Reiefolleg, an där de Client hinnen begéint.

Portabel deckt dräi ënnerschiddlech Verspriechen of, an nëmmen eng ass gratis

Keen Installateur heescht, datt de Fournisseur keen Déngscht registréiert, keen Deinstallateur geliwwert an keen Menüentrag derbäigesat huet. Kee Administrateur heescht, datt en normale Kont de Client starte kann an eng Verbindung fäerdeg maachen. Keng Ännerung um Host heescht, datt d'Maschinn no Ärem Ausstieg identesch ausgesäit. Downloadsäiten, déi portabel soen, verspriechen normalerweis nëmmen déi éischt dovun, an déi aner zwee sinn de Punkt, wou Asätz feelen. E Build kann och am engen Sënn portabel sinn: en leeft vu schreifgeschützte Medien ouni iergendeng Punktdatei-Schreiwungen, wat awer nach ëmmer näischt iwwer de Netzwierkstack seet.

Déi deier Verspriechen sinn déi zweet an déi drëtt. Eng eenzeg ausféierbar Datei, déi en Adapter, eng Route oder eng Schreiwen an den Resolver brauch, freet d'Betribssystem ëm Autoritéit, déi den Etikett portabel ni ofgedeckt huet.

Fannt de privilegiéierte Hëllefer, deen de Client rufft

Bal kee VPN-Client beweegt Pakete vu sech aus. Op Windows geet den Datewee duerch WFP-Filter an d'Base Filtering Engine, op macOS duerch en NetworkExtension-Ubidder, deen de Benotzer an de Systemastellungen approuvéiert, an op Linux duerch en tun-Gerät plus de Routingstack. D'binaer Datei, déi Dir kopéiert hutt, ass eng Kontrollfläch fir déi Komponenten, keen Ersatz fir si. Frot, wéi eng Komponent de Client erwaart, a bestätegt dann, datt si installéiert ass, leeft a vu Ärem Kont benotzbar ass.

Linux ass déi einfachst Plaz, fir de Punkt ze beweisen, well d'Prüfung en eenzegen Systemopruff ass. /dev/net/tun opzemaachen an de Kernel ëm en Gerät ze froen erfuerdert CAP_NET_ADMIN, an d' Kernel-Dokumentatioun zu TUN/TAP nennt souwuel d'Eegentumsregel wéi och d'Fäegkeet. Fëllt d'Prüfung mam Kont aus, deen de Client starte wäert, net als root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

E Berechtegungsfehler an der mëttlerer Linn ass d'Äntwert, déi Dir gesicht hutt: dëse Kont kann keng Tunnelinterface uleeën, also feelt all Userspace-Client, deen eng brauch, beim Verbannen an net beim Eroflueden. Déi lescht Linn entfernt d'Testgerät a dréckt näischt, wann et funktionéiert. Wa béid Linne geléngt, huet den Host näischt dauerhaft geännert.

Test d'Routen- a Resolverännerungen virun der éischter Verbindung

Split-Tunneling mécht aus enger Verbindung eng Routingentscheedung, wärend en vollstännegen Tunnel se duerch eng Ersatzstandardroute ersetzt. Béides si Schreiwungen an den Netzwierkstack vum Host, a béides feelt fir en net-privilegiéierte Kont, och wann de Client selwer propper start. Den Resolver ass déi drëtt Schreiwen, an op systemd-Hoste ass et normalerweis deen, deen als Lescht briecht. Déi Reiefolleg zielt, wann Dir entscheet, wou Dir eng héich Installatioun investéiert.

Eng Routeprüfung brauch en Zil, dat Iech wierklech wichteg ass, also ersetzt de Platzhalter hei drënner duerch en Subnetz aus Ärem eegene Profil. Den Apparatnumm muss existéieren, fir datt d'Route kann u eppes hänken.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Wann déi éischt Linn RTNETLINK answers: Operation not permitted zréckgëtt, kann de Kont déi privat Route, déi de Profil verlaangt, net installéieren. Déi zweet Linn beweist dat selwecht Recht ëmgedréit, wat zielt, well e Client, deen Routen derbäisetze kann awer net ewechhuelen, eng futti Tabell hannerléisst. D'Resolver-Ufro weist dann, ob privat Nimm duerch den Tunnel opgeléist ginn oder zu deem Resolver lecken, deem den Host schonn vertraut.

Fëllt all dräi aus, soulaang d'Testgerät nach existéiert, a läscht et duerno. Eng Route, déi op en verschwonne Gerät weist, ass de heefegste Grond, firwat e Laptop no enger feelgeschloener Verbindung d'Konnektivitéit verléiert.

Entscheet, wat d'Sessioun iwwerliewen muss

Den Dossier läschen ass kee Botzplang. Adapter, Routen, Resolverastellungen, vertrauenswierdeg Zertifikater a gespäichert Umeldungsinformatioune kënnen all de Prozess iwwerliewen, an en Déngscht beim Start kann e puer dovu restauréieren, ouni ze froen. Schreift op, wat de Client hannerléisst, ier Dir en ausféiert, net no der éischter feelgeschloener Trennung.

D'praktesch Regel ass, en Schnappschoss vun den dräi Flächen ze maachen, déi Dir ännere wäert, an se duerno ze vergläichen. Registréiert Interface, d'Haaptroutentabelle an den Zoustand vum Resolver virun der éischter Verbindung, a widderhielt dann déiselwecht dräi Liesungen, wann de Client eraus ass.

ip -brief addr show
ip route show table main
resolvectl status

Alles, wat an der zweeter Opnam do ass an an der éischter feelt, brauch en Eegentümer. Entweder entfernt de Client et beim Ausstig, oder Dir entfernt et mat deene selwechte Befehler, déi et erstallt hunn, an déi Entfernung gehéiert an d'Asatznotizen an net an d'Erënnerung vun engem, wat geschitt ass. Op Windows sinn déi entspriechend Liesungen Get-NetAdapter, Get-NetRoute an Get-DnsClientServerAddress, déi keng Héich brauchen awer déiselwecht Iwwerreschter weisen.