„Android“ VPN profilis: prieš redaguodami raskite savininką

„Android“ VPN ekranas rodo vieną eilutę su pavadinimu, rakto piktograma ir galbūt visada įjungto jungikliu. Jis retai rodo galinį tašką, maršrutų politiką, DNS serverius ar prisijungimo duomenis, kurie užtikrina ryšį, nes programoje pagrįstame tunelyje jie priklauso programai. Praktinė pasekmė yra „runbook“ klausimas, o ne filosofinis: prieš redaguodami atsisiųstą failą ar ieškodami centrinės profilių saugyklos, išsiaiškinkite, kuris komponentas valdo nustatymą, kurį norite pakeisti.

Pirmiausia nustatykite ryšio tipą

Tame pačiame nustatymų ekrane yra bent trys išdėstymai. Programa gali naudoti VpnService, kad sukurtų virtualią sąsają ir valdytų protokolą bei privačią konfigūraciją, įskaitant vietinę filtravimo programą be nuotolinės išvesties. „Android“ taip pat gali parūpinti platformos IKEv2 profilį per Ikev2VpnProfile, prieinamą nuo API 30, kur platforma laiko didesnę profilio dalį. O tiekėjo programa gali pateikti savo serverių sąrašą ir sudaryti nustatymus viduje.

adb shell dumpsys connectivity | grep -i -A12 "VPN"
adb shell cmd connectivity list-owners 2>/dev/null || true

Pirmoji komanda rodo aktyvų VPN tinklą ir jo jungties savybes, tai yra pritaikyta būsena. Jei eilutė nurodo jums pažįstamą paketą, pradėkite nuo tos programos profilio rodinio, o ne nuo sistemos ekrano.

Užrašykite savininką ir profilio apimtį

Prieš ką nors keisdami užrašykite keturis faktus: valdantį paketą, ar ryšys yra asmeniniame, ar darbo profilyje, profilio ar ryšio pavadinimą, kaip jį rodo programa, ir kas jį administruoja. Įrenginio savininkas gali parūpinti darbo profilio VPN, kurio asmeninio profilio naudotojas negali redaguoti, o ta pati programa įdiegta du kartus duoda du nepriklausomus savininkus.

Šis žingsnis apsaugo nuo dažniausiai prarandamos valandos, tai yra redaguoti ne tą profilį, kuris prijungtas. Programos dažnai laiko kelis profilius, o aktyvusis yra programos savybė, ne „Android“ eilutės.

Palyginkite prašomą, gautą ir pritaikytą būseną

Tai trys skirtingi etapai, o neatitikimas tarp jų pasako, kurį komponentą taisyti.

Pritaikytas etapas yra tas, kurį galite stebėti nepasitikėdami niekieno žurnalu. Palyginkite aktyvios jungties savybių DNS serverius ir maršrutus su tais, kuriuos teigia profilis; jei jie skiriasi, serveris ką nors atsiuntė arba programa pritaikė netikėtą politiką.

adb shell ip addr show tun0
adb shell ip route show table all | head -40

Sąsajų pavadinimai skiriasi tarp programų, todėl pirmiausia išvardykite sąsajas ir perskaitykite tą, kuri atsirado prisijungus tuneliui. Maršrutas, kuris yra programos redaktoriuje, bet čia jo nėra, niekada nebuvo pritaikytas; maršrutas, kuris yra čia, bet jo nėra redaktoriuje, atėjo iš kitur.

Redaguokite tai, ką savininkas iš tikrųjų skaito

Importuotam OpenVPN profiliui programa paprastai laiko savo kopiją. Vėliau redaguoti iš pradžių atsisiųstą failą nepakeis kito ryšio; naudokite dokumentuotą programos redaktorių arba importuokite iš naujo ir patvirtinkite, kuris profilis dabar aktyvus. Tai skirtumas tarp failo keitimo ir konfigūracijos keitimo.

Tiekėjų programos dažnai sudaro nustatymus iš serverių sąrašo, o ne rašo naudotojo redaguojamą failą. Eksporto mygtuko nebuvimas nėra įrodymas, kad VPN netikras, o eksportuotame faile gali trūkti prie įrenginio pririštų raktų ar registracijos medžiagos, kurios prireiktų kitam įrenginiui. Traktuokite eksportą ir importą kaip atskiras operacijas su savo sąlygomis.

Parašykite palaikymo pastabą neatskleisdami paslapčių

Naudinga pastaba nurodo tikslią programą ir profilį, neteisingai atrodantį nustatymą ir kiekvieno etapo įrodymus. Pavyzdžiui: šis profilis gauna privatų DNS adresą iš serverio, bet numatyta darbo programa negali išspręsti savo paslaugos, o pritaikytos jungties savybės rodo tą resolverį, tuo tarpu profilio redaktorius rodo kitą.

Laikykite prisijungimo duomenis už pastabos ribų. Norint nustatyti savininką nereikia „root“ teisių įrenginyje ieškant programos privačioje saugykloje, o spėjamas duomenų katalogo kelias nėra palaikoma sąsaja. Jei atsakymui reikia baitų, kuriuos mato tik programa, paprašykite savininko diagnostinio eksporto, o ne kurkite jo patys.

Kai darbas baigtas, uždarykite ciklą: patvirtinkite aktyvaus profilio pavadinimą, perskaitykite pritaikytą būseną ir vieną kartą atsijunkite, kad patikrintumėte, ar pakeitimas išlieka po prisijungimo iš naujo. Nustatymas, kuris egzistuoja tik redaktoriuje, nėra įdiegtas.