Klien VPN mudah alih tanpa hak pentadbir: apa yang masih rosak

Mudah alih menerangkan pemasang, bukan kernel. Klien boleh tiba sebagai satu fail boleh laku pada pemacu USB dan masih memerlukan peranti terowong, entri jadual laluan dan tulisan ke penyelesai sebelum paket pertama bergerak. Yang mana antara ketiga-tiganya mesin sasaran akan benarkan anda sentuh menentukan sama ada binaan itu berfungsi di sana sama sekali. Pemeriksaan di bawah menjawab soalan itu mengikut urutan klien akan menemuinya.

Mudah alih merangkumi tiga janji berbeza, dan hanya satu yang percuma

Tiada pemasang bermakna vendor tidak mendaftarkan perkhidmatan, tidak menghantar penyahpasang dan tidak menambah entri menu. Tiada pentadbir bermakna akaun biasa boleh memulakan klien dan menyelesaikan sambungan. Tiada perubahan hos bermakna mesin kelihatan sama selepas anda keluar. Halaman muat turun yang menyebut mudah alih biasanya hanya menjanjikan yang pertama, dan dua lagi ialah tempat penggunaan gagal. Sesuatu binaan juga boleh mudah alih dalam erti kata sempit: ia berjalan daripada media baca sahaja tanpa sebarang tulisan fail titik, yang masih tidak mengatakan apa-apa tentang tindanan rangkaian.

Janji yang mahal ialah yang kedua dan ketiga. Satu fail boleh laku yang memerlukan penyesuai, laluan atau tulisan ke penyelesai meminta kuasa daripada sistem pengendalian yang tidak pernah dilindungi oleh label mudah alih.

Cari pembantu istimewa yang akan dipanggil klien

Hampir tiada klien VPN menggerakkan paket dengan sendirinya. Pada Windows laluan data melalui penapis WFP dan Base Filtering Engine, pada macOS melalui pembekal NetworkExtension yang diluluskan pengguna dalam Tetapan Sistem, dan pada Linux melalui peranti tun serta tindanan penghalaan. Binari yang anda salin ialah permukaan kawalan untuk komponen itu, bukan penggantinya. Tanya komponen mana yang dijangka klien, kemudian sahkan ia dipasang, berjalan dan boleh digunakan oleh akaun anda.

Linux ialah tempat paling mudah untuk membuktikannya kerana pemeriksaannya satu panggilan sistem. Membuka /dev/net/tun dan meminta peranti daripada kernel memerlukan CAP_NET_ADMIN, dan dokumentasi kernel tentang TUN/TAP menyatakan peraturan pemilikan dan keupayaan sekali gus. Jalankan pemeriksaan sebagai akaun yang akan melancarkan klien, bukan sebagai root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Ralat kebenaran pada baris tengah ialah jawapan yang anda cari: akaun ini tidak boleh mencipta antara muka terowong, jadi mana-mana klien ruang pengguna yang memerlukannya gagal semasa menyambung, bukan semasa memuat turun. Baris terakhir mengalihkan peranti ujian dan tidak mencetak apa-apa apabila ia berjaya. Jika kedua-dua baris berjaya, hos tidak mengubah apa-apa secara kekal.

Uji perubahan laluan dan penyelesai sebelum sambungan pertama

Terowong berpecah menjadikan sambungan sebagai keputusan penghalaan, manakala terowong penuh menjadikannya penggantian laluan lalai. Kedua-duanya ialah tulisan ke tindanan rangkaian hos, dan kedua-duanya gagal bagi akaun tanpa keistimewaan walaupun klien sendiri bermula bersih. Penyelesai ialah tulisan ketiga, dan pada hos systemd biasanya itulah yang rosak terakhir. Urutan itu penting apabila anda memutuskan di mana hendak membelanjakan pemasangan yang ditinggikan.

Ujian laluan memerlukan destinasi yang benar-benar anda pedulikan, jadi gantikan pemegang tempat di bawah dengan subrangkaian daripada profil anda sendiri. Nama peranti mesti wujud supaya laluan boleh berpaut pada sesuatu.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Jika baris pertama mengembalikan RTNETLINK answers: Operation not permitted, akaun tidak boleh memasang laluan peribadi yang dikehendaki profil. Baris kedua membuktikan hak yang sama secara terbalik, yang penting kerana klien yang boleh menambah laluan tetapi tidak boleh mengeluarkannya meninggalkan jadual rosak. Seterusnya pertanyaan penyelesai menunjukkan sama ada nama peribadi diselesaikan melalui terowong atau bocor ke penyelesai yang sudah dipercayai hos.

Jalankan ketiga-tiganya selagi peranti ujian masih wujud, kemudian hapuskannya. Laluan yang menunjuk ke peranti yang sudah hilang ialah sebab paling biasa komputer riba kehilangan sambungan selepas sambungan gagal.

Tentukan apa yang mesti bertahan sepanjang sesi

Menghapuskan folder bukan pelan pembersihan. Penyesuai, laluan, tetapan penyelesai, sijil dipercayai dan kelayakan tersimpan masing-masing boleh hidup lebih lama daripada proses, dan perkhidmatan semasa but boleh memulihkan sebahagiannya tanpa bertanya. Tuliskan apa yang dibenarkan klien tinggalkan sebelum anda menjalankannya, bukan selepas pemutusan pertama yang gagal.

Peraturan praktikal ialah mengambil petikan tiga permukaan yang akan anda ubah dan membandingkannya selepas itu. Rekodkan antara muka, jadual penghalaan utama dan keadaan penyelesai sebelum sambungan pertama, kemudian ulangi tiga bacaan yang sama selepas klien keluar.

ip -brief addr show
ip route show table main
resolvectl status

Apa-apa yang ada dalam tangkapan kedua dan tiada dalam yang pertama memerlukan pemilik. Sama ada klien mengeluarkannya semasa keluar, atau anda mengeluarkannya dengan arahan yang sama yang menciptanya, dan pengeluaran itu termasuk dalam nota penggunaan, bukan dalam ingatan seseorang tentang apa yang berlaku. Pada Windows bacaan yang setara ialah Get-NetAdapter, Get-NetRoute dan Get-DnsClientServerAddress, yang tidak memerlukan peninggian tetapi menunjukkan sisa yang sama.