Bærbar VPN-klient utan administratorrettar: kva som framleis knekk

Bærbar skildrar installasjonsprogrammet, ikkje kjernen. Ein klient kan kome som éi køyrbar fil på ein USB-pinne og likevel trengje ei tunneleining, ein oppføring i rutetabellen og ei skriving til resolvaren før den første pakken flyttar seg. Kva av dei tre målarmaskinen lèt deg røre, avgjer om den bygginga i det heile verkar der. Prøvane nedanfor svarar på spørsmålet i den rekkjefølgja klienten vil møte dei.

Bærbar dekkjer tre ulike løfte, og berre eitt er gratis

Ingen installasjonsprogram tyder at leverandøren ikkje registrerte ei teneste, ikkje sende eit avinstallasjonsprogram og ikkje la til ein menooppføring. Ingen administrator tyder at ein vanleg konto kan starte klienten og fullføre ei tilkopling. Ingen endring av verten tyder at maskinen ser identisk ut etter at du avsluttar. Nedlastingssider som seier bærbar lovar vanlegvis berre det første av desse, og dei to andre er der utrullingar feilar. Ei bygging kan òg vere bærbar i snever forstand: ho køyrer frå skriveverna medium utan nokon punktfilskrivingar i det heile, noko som framleis ikkje seier noko om nettverksstakken.

Dei dyre løfta er det andre og det tredje. Éi køyrbar fil som treng ein adapter, ei rute eller ei skriving til resolvaren, ber operativsystemet om mynde som etiketten bærbar aldri dekte.

Finn den privilegerte hjelparen klienten vil kalle

Nesten ingen VPN-klient flyttar pakkar av seg sjølv. På Windows går datastien gjennom WFP-filtre og Base Filtering Engine, på macOS gjennom ein NetworkExtension-leverandør som brukaren godkjenner i Systeminnstillingar, og på Linux gjennom ei tun-eining pluss rutestakken. Binærfilen du kopierte, er ei styreflate for desse komponentane, ikkje ei erstatning for dei. Spør kva komponent klienten ventar, og stadfest deretter at han er installert, køyrer og kan brukast av kontoen din.

Linux er den enklaste staden å bevise poenget fordi kontrollen er eitt systemkall. Å opne /dev/net/tun og be kjernen om ei eining krev CAP_NET_ADMIN, og kjernens TUN/TAP-dokumentasjon oppgir både eigarregelen og evna. Køyr prøven som kontoen som skal starte klienten, ikkje som root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Ein tilgangsfeil på midtlinja er svaret du leita etter: denne kontoen kan ikkje opprette eit tunnegrensesnitt, så kvar brukarromsklient som treng eitt, feilar ved tilkopling i staden for ved nedlasting. Den siste linja fjernar testininga og skriv ingenting når ho verkar. Viss begge linjene lukkast, har verten ikkje endra noko permanent.

Test rute- og resolverendringar før den første tilkoplinga

Delt tunnellering gjer ei tilkopling til ei rutingsavgjerd, medan ein full tunnel gjer ho til ei erstatning av standardruta. Begge er skrivingar til nettverksstakken til verten, og begge feilar for ein konto utan privilegium sjølv når klienten sjølv startar reint. Resolvaren er den tredje skrivinga, og på systemd-vertar er det vanlegvis den som knekk sist. Den rekkjefølgja betyr noko når du bestemmer kvar du vil bruke ein forhøgd installasjon.

Ein ruteprøve treng ein destinasjon du faktisk bryr deg om, så byt ut plasshaldaren nedanfor med eit subnett frå din eigen profil. Eininga sitt namn må finnast for at ruta skal kunne feste seg til noko.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Viss den første linja returnerer RTNETLINK answers: Operation not permitted, tyder det at kontoen ikkje kan installere den private ruta profilen krev. Den andre linja beviser den same retten omvendt, noko som betyr noko fordi ein klient som kan leggje til ruter, men ikkje fjerne dei, etterlèt seg ein øydelagd tabell. Deretter viser resolverførespurnaden om private namn blir løyste gjennom tunnelen eller lek til den resolvaren verten allereie stolar på.

Køyr alle tre medan testininga framleis finst, og slett ho deretter. Ei rute som peikar på ei eining som er borte, er den vanlegaste grunnen til at ein laptop mistar tilkoplinga etter ei mislukka tilkopling.

Avgjer kva som må overleve økta

Å slette mappa er ikkje ein oppryddingsplan. Adapterar, ruter, resolverinnstillingar, betrodde sertifikat og lagra påloggingsdetaljar kan kvar overleve prosessen, og ei teneste ved oppstart kan gjenopprette nokre av dei utan å spørje. Skriv ned kva klienten har lov til å etterlate seg før du køyrer han, ikkje etter den første mislukka fråkoplinga.

Den praktiske regelen er å ta eit augneblinksbilete av dei tre flatene du er i ferd med å endre, og samanlikne dei etterpå. Registrer grensesnitt, hovudrutetabellen og tilstanden til resolvaren før den første tilkoplinga, og gjenta deretter dei same tre lesingane når klienten har avslutta.

ip -brief addr show
ip route show table main
resolvectl status

Alt som finst i den andre opptaka og manglar i den første, treng ein eigar. Anten fjernar klienten det ved avslutning, eller du fjernar det med dei same kommandoane som oppretta det, og den fjerninga høyrer i utrullingsnotata, ikkje i nokon si minne om kva som skjedde. På Windows er dei tilsvarande lesingane Get-NetAdapter, Get-NetRoute og Get-DnsClientServerAddress, som ikkje krev forhøgging, men viser dei same restane.