Android VPN एक्सपोर्ट: नवीन फोनवर प्रत्यक्षात काय जाते
Android VPN एक्सपोर्ट सेटिंग्ज आणि कधीकधी की पाठवते, पण डिव्हाइसची अधिकृतता कधीही पाठवत नाही. जुना फोन पुसण्यापूर्वी प्रत्यक्षात काय जाते ते तपासा.
Android वरून VPN प्रोफाइल एक्सपोर्ट करणे बॅकअप पायरीसारखे वाटते, आणि ते देणारा मेनू ती छाप दुरुस्त करण्यासाठी काहीही करत नाही. तुमच्याकडे राहते ते parser इनपुट, ऑपरेटिंग सिस्टम कदाचित कधीही परत न देणारी की, आणि त्या विशिष्ट फोनसाठी जारी केलेली अधिकृतता. हे तीन वेगळे करा आणि उपयुक्त प्रश्न येतो: नवीन डिव्हाइसवर अजून कोणता भाग गहाळ आहे?
फाइल सोपा भाग आहे. उर्वरित दोन स्थलांतर काम करेल की नाही हे ठरवतात.
एक्सपोर्ट केलेल्या प्रोफाइलमध्ये प्रत्यक्षात काय असते
विश्वास ठेवण्यापूर्वी फाइल टेक्स्ट एडिटरमध्ये उघडा. OpenVPN प्रोफाइल ही एक छोटी कॉन्फिगरेशन भाषा आहे: remote, proto, data-ciphers, आणि बहुतेकदा क्लायंट त्याच्या TLS स्टॅकला देत असलेले इनलाइन <ca>, <cert>, <key> किंवा <tls-crypt> ब्लॉक. WireGuard कॉन्फिग सपाट आहे: [Interface] मध्ये PrivateKey आणि Address असतात, नंतर प्रत्येक एंडपॉइंटसाठी एक [Peer] ज्यात PublicKey, AllowedIPs आणि Endpoint असतात. IKEv2 की ब्लॉकऐवजी पेलोड शब्दकोशांसह .mobileconfig म्हणून येते.
त्या मजकुरातील एकही स्वतःच क्रेडेन्शियल नाही. क्रेडेन्शियल ही खाजगी की आहे, आणि प्रत्येक स्वरूप ती आत चिकटवते किंवा ती तयार करणाऱ्या क्लायंटच्या आतच सोडवली जाणारी टोपणनावाकडे निर्देश करते.
Android वर की प्रत्यक्षात कुठे राहते
Android ॲप डेटा /data/data/<package> खाली ठेवतो, जो फक्त त्या ॲपचा UID वाचू शकतो. root न केलेल्या फोनवरून दुसऱ्या ॲपची खाजगी डिरेक्टरी कॉपी करण्याचा कोणताही समर्थित मार्ग नाही, आणि Android 12 ने ते रद्द केल्यानंतर आणि क्लायंटनी allowBackup="false" घोषित करायला सुरुवात केल्यानंतर adb backup सामान्य उत्तर राहिले नाही. त्यामुळे Android क्लायंटमधून एक्सपोर्ट म्हणजे तो क्लायंट जे अंमलात आणतो ते, फाइल सिस्टमची प्रत नाही.
ओळखीचा थर ॲपच्या खाली असतो. क्लायंटने तुमची की Android Keystore मध्ये आयात केली असेल, तर सामग्री तिथे तयार होते किंवा गुंडाळली जाते, आणि नंतरचे एक्सपोर्ट बाइट्सऐवजी Keystore टोपणनावाचा संदर्भ घेऊ शकतात. हार्डवेअर-समर्थित की अशा प्रकारे बनवल्या जातात की मालक ॲपलाही त्या वाचता येत नाहीत, जसे Keystore documentation वर्णन करते, म्हणून त्या टोपणनावाकडे निर्देश करणारे प्रोफाइल त्याच फोनवर स्वच्छ आयात होते आणि इतरत्र सर्वत्र अयशस्वी होते.
ते तुटलेले एक्सपोर्ट नाही. तो प्लॅटफॉर्मकडून मागितलेला गुणधर्म आहे.
प्रोफाइल काय पुढे नेऊ शकत नाही
वस्तू गंतव्य स्वीकारणाऱ्याशी तुलना करा:
| वस्तू | जाते का? | का |
|---|---|---|
| प्रोटोकॉल आणि एंडपॉइंट | होय, गंतव्य क्लायंट ते समजत असेल तर | प्रोफाइलमधील साधा मजकूर |
| CA प्रमाणपत्र आणि होस्टनाव तपासणी | सहसा | सार्वजनिक सामग्री, पण होस्टनाव प्रमाणपत्राशी जुळले पाहिजे |
| क्लायंट प्रमाणपत्र | होय, ते प्रत्येक डिव्हाइसशी बांधलेले नसेल तर | प्रमाणपत्रे वाहून नेता येतात; एक किती डिव्हाइस वापरू शकतात हे जारीकर्ता ठरवतो |
| खाजगी की | फक्त Keystore बाहेर तयार केली असेल तर | हार्डवेअर-समर्थित की एक्सपोर्ट करता येत नाहीत, फक्त बदलता येतात |
| खाते, MFA, SSO सत्र | नाही | टोकन कालबाह्य होतात आणि ती मिळवणाऱ्या डिव्हाइसशी बांधलेले राहतात |
| मार्ग, DNS आणि ॲप व्याप्ती | फक्त कॉन्फिगरेशन मजकूर म्हणून | Android कनेक्ट होताना VpnService.Builder द्वारे ते लागू करतो |
| स्प्लिट-टनेल ॲप यादी | क्वचित | पॅकेज नावे डिव्हाइसांमध्ये वेगळी असतात, आणि यादी क्लायंट स्थिती आहे |
दोन ओळी बहुतेक गोंधळ निर्माण करतात. डिव्हाइसवर तयार केलेली आणि नॉन-एक्सपोर्टेबल अशी चिन्हांकित केलेली की खरोखर ॲप डेटासोबत जाते, म्हणून बदली म्हणजे नवीन की आणि त्यासाठी जारी केलेले प्रमाणपत्र. नवीन फोनवर कॉपी केलेले सत्र टोकन सहसा पहिल्या रिफ्रेशला मरते, जे अयशस्वी आयातीसारखे दिसते.
आयात म्हणजे पार्स, नंतर संमतीची विनंती
स्वीकारणाऱ्या बाजूला, आयात म्हणजे पार्स आणि नंतर कमिट. क्लायंट कॉन्फिग वाचतो, संदर्भित प्रत्येक ब्लॉक अस्तित्वात आहे का ते तपासतो, नंतर टनेलची व्याख्या स्वतःच्या सँडबॉक्समध्ये लिहितो, म्हणूनच डाउनलोडमधून निवडलेली फाइल नंतर कनेक्ट होणारी गोष्ट नाही.
नंतर असा अधिकृतता टप्पा येतो जो कोणतीही फाइल टाळू शकत नाही. टनेल स्थापित करण्यापूर्वी Android ला ॲपने VpnService.prepare() कॉल करून तुमची संमती घ्यावी लागते, म्हणून नुकतेच आयात केलेले प्रोफाइलही एकदा सिस्टम संवाद दाखवते. नंतर टनेल स्पष्टपणे addAddress, addRoute, addDnsServer, आणि प्रति-ॲप राउटिंगसाठी addAllowedApplication किंवा addDisallowedApplication द्वारे तयार केली जाते. यापैकी काहीही एंडपॉइंटमधून सूचित होत नाही, म्हणून तेच प्रोफाइल दोन क्लायंटमध्ये वेगळा प्रभावी मार्ग संच निर्माण करू शकते.
प्रमाणपत्र-आधारित सेटअप आणखी एक शाखा जोडतात. सर्व्हर विशिष्ट डिव्हाइसला प्रमाणपत्र जारी करतो तेव्हा, MDM आणि SCEP नोंदणी करतात त्याप्रमाणे, दुसऱ्या फोनवर त्याचा पुनर्वापर एकतर सर्व्हर प्रत्येक ओळखीसाठी एक सत्र लागू करेपर्यंत चालतो किंवा TLS हँडशेकमध्ये अयशस्वी होतो. पुनर्वापराची योजना करण्यापूर्वी जारीकर्त्याचे धोरण तपासा.
जुने निवृत्त करण्यापूर्वी नवीन डिव्हाइस पडताळा
नवीन फोन हिरव्या चिन्हापेक्षा चांगली गोष्ट उत्तीर्ण होईपर्यंत जुना फोन जोडलेला ठेवा. नवीन डिव्हाइसवरील एग्रेस पत्ता आणि त्याने प्रत्यक्षात वापरलेला DNS रिझॉल्व्हर पुष्टी करा. split tunneling महत्त्वाचे असेल, तर टनेल टाळायला हवे असे ॲप आणि न टाळायला हवे असे ॲप सुरू करा, नंतर कोणते तुमच्या ISP पर्यंत पोहोचते ते पहा.
एक तपासणी एग्रेस पत्ता ठरवते. फोनच्या ब्राउझरमध्ये https://ifconfig.me उघडा, नंतर त्याच Wi-Fi वरील लॅपटॉपवरून curl -s https://ifconfig.me चालवा आणि दोन्ही उत्तरांची तुमच्या प्रदात्याने दिलेल्या पत्त्याशी तुलना करा.
मगच जुनी ओळख निवृत्त करा, आणि ती जारीकर्त्याद्वारे करा: प्रमाणपत्र रद्द करा किंवा खात्यातून डिव्हाइस काढा. डाउनलोडमधून फाइल पुसल्याने काहीही संपत नाही, कारण एकच प्रमाणपत्र असलेली दोन डिव्हाइस सर्व्हर लॉगमध्ये सारखीच दिसतात.
एक्सपोर्ट वाहून नेता येणार नाही असे निघाल्यास, उपाय सार्वजनिक कॉन्फिगरेशन बंडल नसून नवीन नोंदणी आहे. दुसऱ्या डिव्हाइससाठी प्रोफाइल मागा, किंवा नवीन फोनवर की जोडी तयार करून CSR सादर करा; हळू आहे, आणि जारीकर्ता हाच मार्ग समर्थतो.
काहीही पुसण्यापूर्वी तपासणी यादी चालवा: नवीन डिव्हाइस कनेक्ट होते, एग्रेस पत्ता आणि DNS जुळतात, प्रति-ॲप व्याप्ती तुम्हाला हवी होती तशी आहे, जुनी ओळख रद्द झाली आहे, आणि ठेवलेली कोणतीही कॉन्फिग फाइल एन्क्रिप्टेड साठवणीत आहे.