Android VPN экспорт: шинэ утсанд бодитоор юу шилждэг вэ
Android VPN экспорт нь тохиргоо, заримдаа түлхүүр дамжуулдаг ч төхөөрөмжийн зөвшөөрлийг хэзээ ч дамжуулдаггүй. Хуучин утсаа устгахаас өмнө бодитоор юу шилждэгийг шалгаарай.
Android-оос VPN профайл экспортлох нь нөөцлөлтийн алхам мэт санагдах бөгөөд үүнийг санал болгодог цэс тэр сэтгэгдлийг засах юу ч хийдэггүй. Танд үлдэх зүйл бол parser-ийн оролт, үйлдлийн систем хэзээ ч буцааж өгөхгүй байж болох түлхүүр, мөн яг тэр утсанд олгогдсон зөвшөөрөл юм. Эдгээрийг гурав салгавал хэрэгтэй асуулт гарч ирнэ: шинэ төхөөрөмжид аль хэсэг нь одоо ч дутуу байна вэ?
Файл бол хялбар хэсэг. Үлдсэн хоёр нь шилжилт ажиллах эсэхийг шийднэ.
Экспортолсон профайлд бодитоор юу байдаг вэ
Итгэхээс өмнө файлыг текст редакторт нээнэ үү. OpenVPN профайл бол жижиг тохиргооны хэл юм: remote, proto, data-ciphers, түүнчлэн клиент өөрийн TLS стект өгдөг суулгасан <ca>, <cert>, <key> эсвэл <tls-crypt> блокнууд. WireGuard тохиргоо илүү тэгш: [Interface] нь PrivateKey ба Address-г агуулж, дараа нь төгсгөлийн цэг бүрт нэг [Peer] нь PublicKey, AllowedIPs ба Endpoint-г агуулна. IKEv2 нь түлхүүрийн блокны оронд ачааллын тольтой .mobileconfig хэлбэрээр ирдэг.
Эдгээр текстийн аль нь ч дангаараа итгэмжлэл биш. Итгэмжлэл бол хувийн түлхүүр бөгөөд формат бүр түүнийг дотор нь наадаг эсвэл түүнийг үүсгэсэн клиентийн дотор л шийдэгддэг өөр нэр рүү заадаг.
Түлхүүр Android-д бодитоор хаана амьдардаг вэ
Android аппын өгөгдлийг /data/data/<package> дор хадгалдаг бөгөөд зөвхөн тухайн аппын UID уншиж чадна. Root хийгдээгүй утсаас өөр аппын хувийн хавтасыг хуулах дэмжигдсэн арга байхгүй бөгөөд Android 12 үүнийг цуцалж, клиентүүд allowBackup="false" гэж зарлаж эхэлсний дараа adb backup ерөнхий хариулт байхаа больсон. Тиймээс Android клиентээс экспортлох нь тухайн клиентийн хэрэгжүүлж буй зүйлийг илэрхийлнэ, файлын системийн хуулбар биш.
Identity давхарга аппын доор байрладаг. Хэрэв клиент таны түлхүүрийг Android Keystore-д импортолсон бол материал тэнд үүсдэг эсвэл ороогддог бөгөөд дараагийн экспортууд байтуудын оронд Keystore-ийн өөр нэрийн лавлагаа агуулж болно. Техник хангамжаар хамгаалагдсан түлхүүрүүд нь эзэмшигч апп ч уншиж чадахгүй байхаар бүтээгдсэн, Keystore documentation тайлбарласны дагуу, тиймээс тэр өөр нэр рүү заасан профайл ижил утсанд цэвэр импортлогдож, бусад газарт бүгдэд бүтэлгүйтдэг.
Энэ бол эвдэрсэн экспорт биш. Энэ бол платформаас хүссэн шинж чанар юм.
Профайл юуг дамжуулж чадахгүй вэ
Объектуудыг очих газар хүлээн авах зүйлтэй харьцуулна уу:
| Объект | Шилждэг үү? | Яагаад |
|---|---|---|
| Протокол ба төгсгөлийн цэг | Тийм, хэрэв очих газрын клиент үүнийг дэмждэг бол | Профайл дахь энгийн текст |
| CA гэрчилгээ ба хост нэрийн шалгалт | Ихэвчлэн | Нийтэд нээлттэй материал, гэхдээ хост нэр гэрчилгээтэй тохирох ёстой |
| Клиентийн гэрчилгээ | Тийм, хэрэв энэ нь төхөөрөмж тус бүрт уяагүй бол | Гэрчилгээг зөөвөрлөх боломжтой; нэгийг хэдэн төхөөрөмж ашиглахыг олгогч шийднэ |
| Хувийн түлхүүр | Зөвхөн Keystore-оос гадуур үүсгэсэн бол | Техник хангамжаар хамгаалагдсан түлхүүрийг экспортлох боломжгүй, зөвхөн сольж болно |
| Бүртгэл, MFA, SSO сесс | Үгүй | Токенууд хугацаа дуусч, түүнийг авсан төхөөрөмжтэй холбогдсон хэвээр үлддэг |
| Маршрут, DNS ба аппын хүрээ | Зөвхөн тохиргооны текст хэлбэрээр | Android холбогдох үед VpnService.Builder-ээр дамжуулан хэрэглэдэг |
| Хуваасан туннелийн аппын жагсаалт | Ховор | Багцын нэрс төхөөрөмжүүдэд ялгаатай, жагсаалт нь клиентийн төлөв |
Хоёр мөр бухимдлын ихэнхийг үүсгэдэг. Төхөөрөмж дээр үүсгэсэн, экспортлох боломжгүй гэж тэмдэглэсэн түлхүүр аппын өгөгдөлтэй хамт үнэхээр алга болдог, тиймээс орлуулалт нь шинэ түлхүүр ба түүнд олгосон гэрчилгээ юм. Шинэ утсанд хуулсан сессийн токен ихэвчлэн эхний шинэчлэлтэд үхдэг нь импортын бүтэлгүйтэл мэт харагддаг.
Импорт бол задлан шинжилгээ, дараа нь зөвшөөрлийн хүсэлт
Хүлээн авагч талд импорт бол задлан шинжилгээ, дараа нь бүртгэл юм. Клиент тохиргоог уншиж, дурдсан блок бүр байгаа эсэхийг шалгаад, дараа нь туннелийн тодорхойлолтыг өөрийн sandbox-д бичдэг, иймээс Татаж авснаас сонгосон файл нь дараа холбогддог зүйл биш юм.
Дараа нь ямар ч файл алгасаж чадахгүй зөвшөөрлийн алхам ирнэ. Android нь туннель байгуулахаас өмнө апп VpnService.prepare()-г дуудаж, таны зөвшөөрлийг авахыг шаарддаг тул саяхан импортолсон профайл системийн харилцах цонхыг нэг удаа харуулсаар байна. Дараа нь туннель addAddress, addRoute, addDnsServer болон апп тус бүрийн чиглүүлэлтэд addAllowedApplication эсвэл addDisallowedApplication-ээр тодорхой байгуулагдана. Эдгээрийн аль нь ч төгсгөлийн цэгээс гаралтай биш тул ижил профайл хоёр клиентэд өөр үр дүнтэй маршрутын багц үүсгэж болно.
Гэрчилгээнд суурилсан тохиргоо дахин нэг салбар нэмдэг. Сервер тодорхой төхөөрөмжид гэрчилгээ олгох үед MDM болон SCEP бүртгэл хийдэг шиг, хоёр дахь утсанд дахин ашиглах нь сервер иргэншил тус бүрт нэг сесс шаардах хүртэл ажиллана, эсвэл TLS гар барих үед бүтэлгүйтнэ. Дахин ашиглахаар төлөвлөхөөсөн өмнө олгогчийн бодлогыг шалгаарай.
Хуучныг тэтгэвэрлэхээс өмнө шинэ төхөөрөмжийг шалгана уу
Шинэ утас ногоон дүрсээс илүү зүйлийг давтал дуустал хуучин утсыг холбоотой байлгаарай. Шинэ төхөөрөмжөөс гарах хаяг болон түүний бодитоор ашигласан DNS шийдэгчийг баталгаажуулна уу. Хэрэв split tunneling чухал бол туннелийг тойрч гарах ёстой апп болон гарах ёсгүй аппыг ажиллуулаад, аль нь таны үйлчилгээ үзүүлэгчид хүрдэг болохыг хараарай.
Нэг шалгалт гарах хаягийг шийднэ. Утасны хөтчөөр https://ifconfig.me-г нээгээд, дараа нь ижил Wi-Fi дээрх зөөврийн компьютерээс curl -s https://ifconfig.me-г ажиллуулж, хоёр хариултыг үйлчилгээ үзүүлэгчийн тань олгосон хаягтай харьцуулна уу.
Зөвхөн тэр үед хуучин иргэншлийг тэтгэвэрлэж, үүнийг олгогчоор хийгээрэй: гэрчилгээг цуцал эсвэл төхөөрөмжийг бүртгэлээс хас. Татаж авснаас файл устгах нь юуг ч дуусгахгүй, учир нь ижил гэрчилгээтэй хоёр төхөөрөмж серверийн логт ижил харагддаг.
Хэрэв экспорт зөөвөрлөх боломжгүй нь тогтоогдвол шийдэл нь нийтийн тохиргооны багц биш, шинэ бүртгэл юм. Хоёр дахь төхөөрөмжийн профайл хүс, эсвэл шинэ утсан дээр түлхүүрийн хос үүсгэж CSR илгээ. Удаан, гэхдээ энэ бол олгогчийн дэмждэг зам.
Ямар нэг юм устгахаас өмнө шалгах жагсаалтыг гүйцэтгээрэй: шинэ төхөөрөмж холбогддог, гарах хаяг ба DNS тохирдог, апп тус бүрийн хүрээ таны хүссэнээр байна, хуучин иргэншил цуцлагдсан, хадгалсан аливаа тохиргооны файл шифрлэгдсэн санд байна.