Bærbar VPN-klient uten administratorrettigheter: hva som fortsatt knekker

Bærbar beskriver installasjonsprogrammet, ikke kjernen. En klient kan komme som én kjørbar fil på en USB-pinne og likevel trenge en tunnelenhet, en oppføring i rutetabellen og en skriving til resolveren før den første pakken beveger seg. Hvilken av de tre målermaskinen lar deg røre, avgjør om den byggingen i det hele tatt virker der. Prøvene nedenfor svarer på spørsmålet i den rekkefølgen klienten vil møte dem.

Bærbar dekker tre forskjellige løfter, og bare ett er gratis

Ingen installasjonsprogram betyr at leverandøren ikke registrerte en tjeneste, ikke sendte et avinstallasjonsprogram og ikke la til en menuppføring. Ingen administrator betyr at en vanlig konto kan starte klienten og fullføre en tilkobling. Ingen endring av verten betyr at maskinen ser identisk ut etter at du avslutter. Nedlastingssider som sier bærbar lover vanligvis bare det første av disse, og de to andre er der utrullinger feiler. En bygging kan også være bærbar i snever forstand: den kjører fra skrivebeskyttet medium uten noen punktfilskrivinger i det hele tatt, noe som fortsatt ikke sier noe om nettverksstakken.

De dyre løftene er det andre og det tredje. Én kjørbar fil som trenger en adapter, en rute eller en skriving til resolveren ber operativsystemet om myndighet som etiketten bærbar aldri dekket.

Finn den privilegerte hjelperen klienten vil kalle

Nesten ingen VPN-klient flytter pakker av seg selv. På Windows går datastien gjennom WFP-filtre og Base Filtering Engine, på macOS gjennom en NetworkExtension-leverandør som brukeren godkjenner i Systeminnstillinger, og på Linux gjennom en tun-enhet pluss rutestakken. Binærfila du kopierte er en kontrollflate for disse komponentene, ikke en erstatning for dem. Spør hvilken komponent klienten forventer, og bekreft deretter at den er installert, kjører og kan brukes av kontoen din.

Linux er det enkleste stedet å bevise poenget fordi kontrollen er ett systemkall. Å åpne /dev/net/tun og be kjernen om en enhet krever CAP_NET_ADMIN, og kjernens TUN/TAP-dokumentasjon oppgir både eierskapsregelen og evnen. Kjør prøven som kontoen som skal starte klienten, ikke som root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

En tilgangsfeil på midtlinjen er svaret du lette etter: denne kontoen kan ikke opprette et tunnelgrensesnitt, så enhver brukerromsklient som trenger ett, feiler ved tilkobling i stedet for ved nedlasting. Den siste linjen fjerner testenheten og skriver ingenting når den virker. Hvis begge linjene lykkes, har verten ikke endret noe permanent.

Test rute- og resolverendringer før den første tilkoblingen

Delt tunnellering gjør en tilkobling til en rutingsavgjørelse, mens en full tunnel gjør den til en erstatning av standardruten. Begge er skrivinger til vertens nettverksstakk, og begge feiler for en konto uten privilegier selv når klienten selv starter rent. Resolveren er den tredje skrivingen, og på systemd-verter er det vanligvis den som knekker sist. Den rekkefølgen betyr noe når du bestemmer hvor du vil bruke en forhøyet installasjon.

En ruteprøve trenger en destinasjon du faktisk bryr deg om, så bytt ut plassholderen nedenfor med et subnett fra din egen profil. Enhetsnavnet må finnes for at ruten skal kunne feste seg til noe.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Hvis den første linjen returnerer RTNETLINK answers: Operation not permitted, betyr det at kontoen ikke kan installere den private ruten profilen krever. Den andre linjen beviser den samme retten omvendt, noe som betyr noe fordi en klient som kan legge til ruter, men ikke fjerne dem, etterlater seg en ødelagt tabell. Deretter viser resolverforespørselen om private navn løses gjennom tunnelen eller lekker til den resolveren verten allerede stoler på.

Kjør alle tre mens testenheten fortsatt finnes, og slett den deretter. En rute som peker på en enhet som er borte, er den vanligste grunnen til at en laptop mister tilkoblingen etter en mislykket tilkobling.

Bestem hva som må overleve økten

Å slette mappen er ikke en oppryddingsplan. Adaptere, ruter, resolverinnstillinger, betrodde sertifikater og lagrede påloggingsdetaljer kan hver overleve prosessen, og en tjeneste ved oppstart kan gjenopprette noen av dem uten å spørre. Skriv ned hva klienten har lov til å etterlate seg før du kjører den, ikke etter den første mislykkede frakoblingen.

Den praktiske regelen er å ta et øyeblikksbilde av de tre flatene du er i ferd med å endre, og sammenligne dem etterpå. Registrer grensesnitt, hovedrutetabellen og resolverens tilstand før den første tilkoblingen, og gjenta deretter de samme tre lesingene når klienten har avsluttet.

ip -brief addr show
ip route show table main
resolvectl status

Alt som finnes i den andre opptaket og mangler i det første, trenger en eier. Enten fjerner klienten det ved avslutning, eller du fjerner det med de samme kommandoene som opprettet det, og den fjerningen hører i utrullingsnotatene, ikke i noens erindring om hva som skjedde. På Windows er de tilsvarende lesingene Get-NetAdapter, Get-NetRoute og Get-DnsClientServerAddress, som ikke krever forhøyelse, men viser de samme restene.