Esportazzjoni VPN Android: x'jgħaddi tassew għal telefon ġdid
Esportazzjoni VPN Android tibgħat is-settings u xi drabi ċavetta, imma qatt l-awtorizzazzjoni tal-apparat. Iċċekkja x'jgħaddi tassew qabel ma tħassar it-telefon il-qadim.
L-esportazzjoni ta' profil VPN mill-Android tidher bħal pass ta' backup, u l-menu li joffriha ma jagħmel xejn biex jikkoreġi dik l-impressjoni. Dak li tieħu miegħek huwa input għal parser, ċavetta li s-sistema operattiva forsi qatt ma terġa' tagħtiha lura, u awtorizzazzjoni maħruġa għal dak it-telefon preċiż. Issepara dawn it-tlieta u tħares il-mistoqsija utli: liema biċċa għadha nieqsa fuq l-apparat il-ġdid?
Il-fajl huwa l-parti faċli. Iż-żewġ l-oħra jiddeċiedu jekk il-migrazzjoni taħdimx.
X'fih tassew profil esportat
Iftaħ il-fajl f'editur tat-test qabel ma tafdah. Profil OpenVPN huwa lingwa żgħira ta' konfigurazzjoni: remote, proto, data-ciphers, u spiss blokki <ca>, <cert>, <key> jew <tls-crypt> inline li l-klijent jagħti lill-TLS stack tiegħu. Konfigurazzjoni WireGuard hija iktar ċatta: [Interface] iżomm PrivateKey u Address, imbagħad [Peer] wieħed għal kull endpoint b'PublicKey, AllowedIPs u Endpoint. IKEv2 jiġi bħala .mobileconfig b'dizzjunarji tal-payload minflok blokki taċ-ċwievet.
Xejn minn dak it-test mhu kredenzjali waħdu. Il-kredenzjali hija ċ-ċavetta privata, u kull format jew iwaħħalha inline jew jindika lejn alias li jiġi solvut biss ġewwa l-klijent li ħoloqha.
Fejn tassew tgħix iċ-ċavetta fuq Android
Android iżomm id-dejta tal-apps taħt /data/data/<package>, li jista' jaqra biss l-UID ta' dik l-app. M'hemm l-ebda mod appoġġat kif tikkopja direttorju privat ta' app oħra minn telefon mingħajr root, u adb backup ma baqax ikun tweġiba ġenerali wara li Android 12 neħħieh u l-klijenti bdew jiddikjaraw allowBackup="false". Għalhekk esportazzjoni minn klijent Android tfisser dak li jimplimenta dak il-klijent, mhux kopja tas-sistema tal-fajls.
Is-saff tal-identità jinsab taħt l-app. Jekk klijent importa ċ-ċavetta tiegħek fl-Android Keystore, il-materjal jinħoloq jew jiġi involut hemmhekk, u esportazzjonijiet aktar tard jistgħu jġorru referenza għal alias tal-Keystore minflok il-bytes. Iċ-ċwievet appoġġati mill-hardware huma mibnija sabiex lanqas l-app proprjetarja ma tista' taqrahom, kif jiddeskrivi Keystore documentation, għalhekk profil li jindika lejn dak l-alias jiġi importat nadif fuq l-istess telefon u jonqos kullimkien ieħor.
Din mhix esportazzjoni miksura. Din hija l-proprjetà li ntalbet mill-pjattaforma.
X'ma jistax iġorr profil
Qabbel l-oġġetti ma' dak li se taċċetta destinazzjoni:
| Oġġett | Jgħaddi? | Għaliex |
|---|---|---|
| Protokoll u endpoint | Iva, jekk il-klijent tad-destinazzjoni jifhmu | Test sempliċi fil-profil |
| Ċertifikat CA u verifika tal-isem tal-host | Normalment | Materjal pubbliku, imma l-isem tal-host xorta jrid jaqbel maċ-ċertifikat |
| Ċertifikat tal-klijent | Iva, sakemm mhuwiex marbut ma' kull apparat | Iċ-ċertifikati huma portabbli; il-ħarrieġ jiddeċiedi kemm apparati jistgħu jużaw wieħed |
| Ċavetta privata | Biss jekk ġiet iġġenerata barra mill-Keystore | Iċ-ċwievet appoġġati mill-hardware ma jistgħux jiġu esportati, biss sostitwiti |
| Kont, MFA, sessjoni SSO | Le | It-tokens jiskadu u jibqgħu marbuta mal-apparat li kisebhom |
| Rotot, DNS u ambitu tal-apps | Biss bħala test ta' konfigurazzjoni | Android japplikahom waqt il-konnessjoni permezz ta' VpnService.Builder |
| Lista ta' apps għal tunnel maqsum | Rarament | L-ismijiet tal-pakketti jvarjaw bejn apparati, u l-lista hija stat tal-klijent |
Żewġ ringieli jikkawżaw il-biċċa l-kbira tal-konfużjoni. Ċavetta ġġenerata fuq l-apparat u mmarkata bħala li ma tistax tiġi esportata tispiċċa tassew mad-dejta tal-app, għalhekk is-sostituzzjoni hija ċavetta ġdida flimkien ma' ċertifikat maħruġ għaliha. Token ta' sessjoni kkopjat fuq telefon ġdid normalment imut fl-ewwel aġġornament, li jinqara bħala import fallut.
Import huwa parsing, imbagħad talba għal kunsens
Fuq in-naħa li tirċievi, import huwa parsing segwit minn commit. Il-klijent jaqra l-konfigurazzjoni, jivverifika li kull blokk imsemmi jeżisti, imbagħad jikteb id-definizzjoni tat-tunnel fis-sandbox tiegħu, u għalhekk il-fajl li għażilt mid-Downloads mhuwiex dak li jikkonnettja wara.
Imbagħad jiġi pass ta' awtorizzazzjoni li ebda fajl ma jista' jaqbeż. Android jirrikjedi li l-app issejjaħ VpnService.prepare() u tikseb il-kunsens tiegħek qabel ma tista' tistabbilixxi tunnel, għalhekk profil li għadu kemm ġie importat xorta juri d-djalogu tas-sistema darba. Imbagħad it-tunnel jinbena b'mod espliċitu permezz ta' addAddress, addRoute, addDnsServer, u addAllowedApplication jew addDisallowedApplication għall-irrotar skont l-app. Xejn minn dan mhu implikat minn endpoint, għalhekk l-istess profil jista' jipproduċi sett differenti ta' rotot effettivi f'żewġ klijenti.
Setups ibbażati fuq iċ-ċertifikati jżidu ferqa oħra. Meta s-server joħroġ ċertifikat lil apparat speċifiku, kif jagħmlu MDM u r-reġistrazzjoni SCEP, l-użu mill-ġdid tiegħu fuq it-tieni telefon jew jaħdem sakemm is-server jinfurza sessjoni waħda għal kull identità jew jonqos fil-handshake TLS. Iċċekkja l-politika tal-ħarrieġ qabel ma tippjana użu mill-ġdid.
Ivverifika l-apparat il-ġdid qabel ma tirtira l-antik
Żomm it-telefon il-qadim konness sakemm il-ġdid ikun għadda minn xi ħaġa aħjar minn ikona ħadra. Ikkonferma l-indirizz tal-ħruġ mill-apparat il-ġdid u r-resolver DNS li tassew uża. Jekk split tunneling huwa importanti, ibda app li għandha tqarreb it-tunnel u waħda li m'għandhiex, imbagħad ara liema waħda tilħaq il-fornitur tiegħek.
Verifika waħda ssolvi l-indirizz tal-ħruġ. Iftaħ https://ifconfig.me fil-browser tat-telefon, imbagħad ħaddem curl -s https://ifconfig.me minn laptop fuq l-istess Wi-Fi u qabbel it-tweġibiet ma' l-indirizz li alloka l-fornitur tiegħek.
Biss imbagħad irtira l-identità l-qadima, u agħmel dan permezz tal-ħarrieġ: irrevoka ċ-ċertifikat jew neħħi l-apparat mill-kont. Li tħassar fajl mid-Downloads ma jtemm xejn, għax żewġ apparati li jżommu l-istess ċertifikat jidhru identiċi fil-log tas-server.
Jekk l-esportazzjoni tirriżulta mhux portabbli, is-soluzzjoni hija reġistrazzjoni ġdida u mhux bundle ta' konfigurazzjoni pubbliku. Itlob profil għal tieni apparat, jew iġġenera l-par taċ-ċwievet fuq it-telefon il-ġdid u issottometti s-CSR; iktar bil-mod, u din hija t-triq li tappoġġja l-ħarrieġ.
Mexxi l-lista ta' verifika qabel ma tħassar xi ħaġa: apparat ġdid jikkonnettja, indirizz tal-ħruġ u DNS jaqblu, l-ambitu ta' kull app huwa kif ħsibt, identità qadima hija revokata, u kull fajl ta' konfigurazzjoni miżmum jinsab f'ħażna kriptata.