Администраторын эрхгүй зөөврийн VPN клиент: юу хараахан эвдэрдэг

Зөөврийн гэдэг нь суулгагчийг дүрсэлдэг, цөмийг биш. Клиент USB дээр нэг гүйцэтгэх файл хэлбэрээр ирж, эхний пакет хөдлөхөөс өмнө шугаман төхөөрөмж, маршрутын хүснэгтийн бичлэг, шийдэгч рүү бичих шаардлагатай хэвээр байж болно. Эдгээр гурвын алийг нь зорилтот машин танд хүрэх зөвшөөрөл өгөх нь тухайн бүтээц тэнд огт ажиллах эсэхийг тодорхойлно. Доорх шалгалтууд клиентийн тулгарах дарааллаар асуултад хариулна.

Зөөврийн байдал гурван өөр амлалтыг хамардаг бөгөөд зөвхөн нэг нь үнэгүй

Суулгагчгүй гэдэг нь нийлүүлэгч үйлчилгээ бүртгээгүй, устгагч илгээгээгүй, цэсний бичлэг нэмээгүй гэсэн үг. Администраторгүй гэдэг нь энгийн бүртгэл клиентийг эхлүүлж, холболтыг дуусгаж чадна гэсэн үг. Хост өөрчлөгдөөгүй гэдэг нь та гарахаас хойш машин ижил харагдана гэсэн үг. Зөөврийн гэж хэлдэг татах хуудсууд ихэвчлэн тэдгээрийн эхнийхийг л амладаг бөгөөд бусад хоёр нь байршуулалт бүтэлгүйтдэг газар юм. Бүтээц нарийн утгаар ч зөөврийн байж болно: зөвхөн унших зөөвөрлөгчөөс цэгэн файлд ямар ч бичилтгүй ажилладаг бөгөөд энэ нь сүлжээний стек тухай юу ч хэлэхгүй хэвээр байна.

Үнэтэй амлалтууд нь хоёр дахь, гурав дахь нь. Адаптер, маршрут эсвэл шийдэгч рүү бичих шаардлагатай нэг гүйцэтгэх файл нь зөөврийн шошго хэзээ ч хамраагүй эрхийг үйлдлийн системээс шаарддаг.

Клиентийн дуудах эрх мэдэлтэй туслахыг олоорой

Бараг ямар ч VPN клиент пакетыг өөрөө хөдөлгөдөггүй. Windows дээр өгөгдлийн зам WFP шүүлтүүр ба Base Filtering Engine-ээр дамждаг, macOS дээр хэрэглэгчийн Системийн тохиргоонд зөвшөөрдөг NetworkExtension нийлүүлэгчээр, Linux дээр tun төхөөрөмж ба маршрутжуулалтын стегээр дамждаг. Таны хуулсан хоёртын файл бол тэдгээр бүрэлдэхүүн хэсгийн удирдлагын гадаргуу, тэдгээрийг орлуулагч биш. Клиент ямар бүрэлдэхүүн хэсгийг хүлээж байгааг асууж, дараа нь түүнийг суулгасан, ажиллаж байгаа, таны бүртгэлд ашиглах боломжтой гэдгийг баталгаажуулна уу.

Энэ санааг батлахад Linux хамгийн хялбар газар, учир нь шалгалт нь нэг системийн дуудлага. /dev/net/tun нээж, цөмөөс төхөөрөмж хүсэхэд CAP_NET_ADMIN шаардлагатай бөгөөд цөмийн TUN/TAP баримт бичиг эзэмшлийн дүрэм ба чадварыг хоёуланг нь дурддаг. Шалгалтыг клиентийг эхлүүлэх бүртгэлээр ажиллуулна уу, root байдлаар биш.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Дунд мөрийн зөвшөөрлийн алдаа бол таны хайж байсан хариулт: энэ бүртгэл шугаман интерфейс үүсгэж чадахгүй тул түүнийг шаарддаг аливаа хэрэглэгчийн орон зайн клиент татах үед биш, холбогдох үед бүтэлгүйтдэг. Сүүлийн мөр тестийн төхөөрөмжийг устгаж, ажиллаж байхдаа юу ч хэвлэдэггүй. Хоёр мөр хоёулаа амжилттай бол хост байнгын юу ч өөрчлөөгүй.

Эхний холболтын өмнө маршрут ба шийдэгчийн өөрчлөлтийг шалгана уу

Хуваасан шугаман холболтыг маршрутжуулалтын шийдвэр болгодог бол бүрэн шугаман түүнийг өгөөмсөг маршрутыг орлуулалт болгодог. Хоёулаа хостн сүлжээний стек рүү бичих үйлдэл бөгөөд хоёулаа эрх мэдэлгүй бүртгэлд бүтэлгүйтдэг, клиент өөрөө цэвэрхэн эхэлсэн ч. Шийдэгч нь гурав дахь бичилт бөгөөд systemd хостнууд дээр ихэвчлэн хамгийн сүүлд эвдэрдэг нь тэр. Өргөтгөсөн суулгалтыг хаана зарцуулахаа шийдэхэд энэ дараалал чухал.

Маршрутын шалгалтад танд үнэхээр чухал очих газрыг хэрэгтэй тул доорх орлуулагчийн оронд өөрийн профайлаас дэд сүлжээ тавина уу. Маршрут ямар нэгэн зүйлд наалдахын тулд төхөөрөмжийн нэр байх ёстой.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Эхний мөр RTNETLINK answers: Operation not permitted буцаавал бүртгэл профайлын шаарддаг хувийн маршрутыг суулгаж чадахгүй гэсэн үг. Хоёр дахь мөр мөн эрхийг эсрэгээр нь баталдаг бөгөөд энэ нь чухал, учир нь маршрут нэмж чаддаг ч устгаж чаддаггүй клиент ардаа эвдэрсэн хүснэгт үлдээдэг. Дараа нь шийдэгчийн асуулга хувийн нэрс шугамаар шийдэгдэж байгаа эсэх, эсвэл хост аль хэдийн итгэдэг шийдэгч рүү алдагдаж байгаа эсэхийг харуулна.

Тестийн төхөөрөмж байгаа үед гурвыг ажиллуулж, дараа нь устгана уу. Алга болсон төхөөрөмж рүү заасан маршрут нь холболт бүтэлгүйтсэний дараа зөөврийн компьютер холболтоо алдаах хамгийн нийтлэг шалтгаан юм.

Сессийг юу даван туулах ёстойг шийдээрэй

Хавтасыг устгах нь цэвэрлэх төлөвлөгөө биш. Адаптерууд, маршрутууд, шийдэгчийн тохиргоо, итгэмжлэгдсэн гэрчилгээ, хадгалсан нэвтрэх мэдээлэл тус бүр процессоос удаан амьдарч болох бөгөөд ачаалах үеийн үйлчилгээ заримыг нь асуулгүй сэргээж болно. Клиент юу үлдээхийг зөвшөөрөгдөхийг ажиллуулахаас өмнө бичээрэй, эхний бүтэлгүй салгалтын дараа биш.

Практик дүрэм бол өөрчлөх гэж буй гурван гадаргуугийн агшин хувилбар авч, дараа нь тэдгээрийг харьцуулах явдал юм. Эхний холболтын өмнө интерфейсүүд, үндсэн маршрутжуулалтын хүснэгт, шийдэгчийн төлвийг бүртгэж, дараа нь клиент гарсны дараа мөн эдгээр гурван уншилтыг давтана уу.

ip -brief addr show
ip route show table main
resolvectl status

Хоёр дахь барилтын бичлэгт байгаа ч эхнийх нь байхгүй бүхэн эзэнтэй байх ёстой. Нэг бол клиент гарахдаа түүнийг устгана, эсвэл та түүнийг үүсгэсэн ижил командуудаар устгана, энэ устгал нь байршуулалтын тэмдэглэлд хамаарах бөгөөд хэн нэгний юу болсон тухай дурсамжид биш. Windows дээр дүйцэх уншилтууд нь Get-NetAdapter, Get-NetRoute, Get-DnsClientServerAddress бөгөөд тэдгээрт өргөтгөл шаардлагагүй ч ижил үлдэгдлийг харуулдаг.