Pārnēsājams VPN klients bez administratora tiesībām: kas joprojām lūst

Pārnēsājams raksturo instalētāju, nevis kodolu. Klients var ierasties kā viens izpildāms fails USB nesējā un tomēr prasīt tuneļa ierīci, ierakstu maršrutu tabulā un rakstīšanu atrisinātājā, pirms kustas pirmā pakete. Kuru no šiem trim mērķa mašīna ļaus jums aizskart, nosaka, vai šī būve tur vispār darbojas. Tālāk esošās pārbaudes atbild uz jautājumu tādā secībā, kādā klients tām uzies.

Pārnēsājamība aptver trīs dažādus solījumus, un tikai viens ir bez maksas

Bez instalētāja nozīmē, ka piegādātājs nav reģistrējis pakalpojumu, nav piegādājis atinstalētāju un nav pievienojis izvēlnes ierakstu. Bez administratora nozīmē, ka parasts konts var palaist klientu un pabeigt savienojumu. Bez resursdatora izmaiņām nozīmē, ka mašīna pēc iziešanas izskatās identiska. Lejupielādes lapas, kas saka pārnēsājams, parasti sola tikai pirmo no tiem, un pārējie divi ir vieta, kur izvietošanas neizdodas. Būve var būt pārnēsājama arī šaurā nozīmē: tā darbojas no tikai lasāmas vides bez jebkādas punktfailu rakstīšanas, kas joprojām neko neizsaka par tīkla steku.

Dārgākie solījumi ir otrais un trešais. Viens izpildāms fails, kuram vajag adapteri, maršrutu vai rakstīšanu atrisinātājā, prasa operētājsistēmai pilnvaru, ko etiķete pārnēsājams nekad nav aptvērusi.

Atrodiet priviliģēto palīgu, kuru klients izsauks

Gandrīz neviens VPN klients pats nepārvieto paketes. Windows datu ceļš iet caur WFP filtriem un Base Filtering Engine, macOS — caur NetworkExtension sniedzēju, ko lietotājs apstiprina sistēmas iestatījumos, un Linux — caur tun ierīci un maršrutēšanas steku. Nokopētais binārais fails ir šo komponentu vadības virsma, nevis to aizstājējs. Pajautājiet, kādu komponentu klients gaida, pēc tam apstipriniet, ka tas ir instalēts, darbojas un ir pieejams jūsu kontam.

Linux ir visvieglākā vieta, kur to pierādīt, jo pārbaude ir viens sistēmas izsaukums. Atvērt /dev/net/tun un pieprasīt kodolam ierīci prasa CAP_NET_ADMIN, un kodola TUN/TAP dokumentācija norāda gan īpašumtiesību noteikumu, gan iespēju. Palaidiet pārbaudi ar kontu, kas palaidīs klientu, nevis kā root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Atļaujas kļūda vidējā rindā ir atbilde, ko meklējāt: šis konts nevar izveidot tuneļa saskarni, tāpēc jebkurš lietotāja telpas klients, kuram tā vajadzīga, neizdodas savienojoties, nevis lejupielādējot. Pēdējā rinda noņem testa ierīci un neko neizdrukā, kad tā darbojas. Ja abas rindas izdodas, resursdators neko nav mainījis pastāvīgi.

Pārbaudiet maršruta un atrisinātāja izmaiņas pirms pirmā savienojuma

Sadalīts tunelis pārvērš savienojumu maršrutēšanas lēmumā, bet pilns tunelis pārvērš to noklusējuma maršruta aizstāšanā. Abi ir rakstīšana resursdatora tīkla stekā, un abi neizdodas kontam bez privilēģijām, pat ja pats klients startē tīri. Atrisinātājs ir trešā rakstīšana, un systemd resursdatoros parasti tas lūst pēdējais. Šī secība ir svarīga, kad izlemjat, kur tērēt paaugstinātu instalāciju.

Maršruta pārbaudei vajadzīgs galamērķis, kas jums patiešām rūp, tāpēc aizstājiet zemāk esošo vietturi ar apakštīklu no sava profila. Ierīces nosaukumam jābūt, lai maršruts varētu kam pievienoties.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Ja pirmā rinda atgriež RTNETLINK answers: Operation not permitted, konts nevar instalēt privāto maršrutu, ko prasa profils. Otrā rinda pierāda tās pašas tiesības otrādi, un tas ir svarīgi, jo klients, kas var pievienot maršrutus, bet nevar tos noņemt, atstāj aiz sevis salauztu tabulu. Pēc tam atrisinātāja vaicājums parāda, vai privātie nosaukumi tiek atrisināti caur tuneli vai noplūst pie tā atrisinātāja, kuram resursdators jau uzticas.

Palaidiet visus trīs, kamēr testa ierīce vēl pastāv, pēc tam izdzēsiet to. Maršruts, kas norāda uz pazudušu ierīci, ir visbiežākais iemesls, kāpēc klēpjdators zaudē savienojamību pēc neizdevušās savienošanas.

Izlemiet, kam jāiztur sesija

Mapes dzēšana nav tīrīšanas plāns. Adapteri, maršruti, atrisinātāja iestatījumi, uzticami sertifikāti un saglabātie akreditācijas dati katrs var pārdzīvot procesu, un palaišanas laika pakalpojums var dažus no tiem atjaunot, neprasot. Pierakstiet, ko klientam atļauts atstāt aiz sevis, pirms to palaižat, nevis pēc pirmās neizdevušās atvienošanas.

Praktiskais noteikums ir uzņemt momentuzņēmumu trim virsmām, ko gatavojaties mainīt, un pēc tam tās salīdzināt. Pirms pirmā savienojuma reģistrējiet saskarnes, galveno maršrutēšanas tabulu un atrisinātāja stāvokli, pēc tam atkārtojiet tos pašus trīs nolasījumus, kad klients ir izgājis.

ip -brief addr show
ip route show table main
resolvectl status

Visam, kas ir otrajā tveršanā un nav pirmajā, vajadzīgs īpašnieks. Vai nu klients to noņem izejot, vai jūs to noņemat ar tām pašām komandām, kas to izveidoja, un šī noņemšana pieder izvietošanas piezīmēm, nevis kāda atmiņai par to, kas notika. Windows atbilstošie nolasījumi ir Get-NetAdapter, Get-NetRoute un Get-DnsClientServerAddress, kuriem nav vajadzīga paaugstināšana, bet tie rāda tos pašus atlikumus.