د Android VPN صادرات: نوي تلیفون ته په ریښتیا څه ځي
د Android VPN صادرات ترتیبات او کله ناکله یوه کیلي لیږي، خو د وسیلې اجازه هېڅکله نه لیږي. د زوړ تلیفون د پاکولو مخکې وګورئ چې په ریښتیا څه ځي.
له Android څخه د VPN پروفایل صادرول د بیک اپ ګام په څېر ښکاري، او هغه مینو چې دا وړاندې کوي د دې تصور د سمولو لپاره هېڅ نه کوي. له تاسو سره پاتې کېږي د parser ننوتل، یوه کیلي چې عملیاتي سیسټم شاید هېڅکله بیرته نه راکړي، او د هماغه تلیفون لپاره صادر شوې اجازه. دا درې بېل کړئ او ګټوره پوښتنه راڅرګندیږي: په نوي وسیله کې لا کومه برخه ورکه ده؟
دوتنه اسانه برخه ده. نورې دوه پرېکړه کوي چې لېږد به کار وکړي که نه.
صادر شوی پروفایل په ریښتیا څه لري
د باور کولو مخکې دوتنه په متن ایډیټر کې پرانیزئ. د OpenVPN پروفایل یوه کوچنې ترتیباتي ژبه ده: remote، proto، data-ciphers، او ډېری وختونه دننه <ca>، <cert>، <key> یا <tls-crypt> بلاکونه چې کلاینټ خپل TLS سټیک ته ورکوي. د WireGuard ترتیبات لا هوار دي: [Interface] کې PrivateKey او Address وي، بیا د هر پای ټکي لپاره یو [Peer] چې PublicKey، AllowedIPs او Endpoint لېږدوي. IKEv2 د کیلي بلاکونو پر ځای د پېلوډ قاموسونو سره .mobileconfig په څېر راځي.
له دې متنونو هېڅ یو په خپله اعتبار نه دی. اعتبار شخصي کیلي ده، او هر فارمېټ هغه دننه نښلوي یا داسې مستعار نوم ته اشاره کوي چې یوازې په هغه کلاینټ کې حل کېږي چې هغه یې جوړ کړی.
کیلي په Android کې په ریښتیا چېرته اوسیږي
Android د اپلیکیشن ډاټا /data/data/<package> لاندې ساتي، چې یوازې د هماغه اپلیکیشن UID یې لوستلی شي. د ریښې نلرونکي تلیفون څخه د بل اپلیکیشن شخصي فولډر کاپي کولو هېڅ ملاتړ شوې لاره نشته، او adb backup هغه وخت عمومي ځواب پاتې نه شو چې Android 12 لغوه کړ او کلاینټونو allowBackup="false" اعلانول پیل کړل. نو له Android کلاینټ څخه صادرات د هغه څه مانا لري چې هغه کلاینټ یې پلي کوي، نه د فایل سیسټم کاپي.
د هویت طبقه د اپلیکیشن لاندې ده. که کلاینټ ستاسو کیلي Android Keystore ته وارد کړې وي، مواد هلته جوړېږي یا تړل کېږي، او وروسته صادرات کېدای شي د بایټونو پر ځای د Keystore مستعار نوم ته اشاره ولري. د سختو لارو ملاتړ شوې کیليانې داسې جوړې شوې چې حتی مالک اپلیکیشن یې نشي لوستلی، لکه څنګه چې Keystore documentation تشریح کوي، نو هغه پروفایل چې دې مستعار نوم ته اشاره کوي په هماغه تلیفون کې پاک واردېږي او بل هر ځای کې ناکامېږي.
دا مات صادرات نه دي. دا هغه ځانګړتیا ده چې له پلیټفارم څخه غوښتل شوې وه.
پروفایل څه نشي لېږدولی
توکي له هغه څه سره پرتله کړئ چې منزل به یې مني:
| توکی | ځي؟ | ولې |
|---|---|---|
| پروتوکول او پای ټکی | هو، که د منزل کلاینټ یې پوهېږي | په پروفایل کې ساده متن |
| CA سند او د کوربه نوم کتنه | معمولاً | عامه مواد، خو کوربه نوم باید لا هم له سند سره سم وي |
| د کلاینټ سند | هو، که دا له هر وسیله سره تړلی نه وي | سندونه لېږدېدونکي دي؛ جاري کوونکی پرېکړه کوي چې یو یې څو وسیلې کارولی شي |
| شخصي کیلي | یوازې که له Keystore بهر جوړه شوې وي | د سختو لارو ملاتړ شوې کیليانې صادرېدلی نشي، یوازې بدلېدلی شي |
| حساب، MFA، SSO غونډه | نه | ټوکنونه پای ته رسېږي او له هغه وسیلې سره تړلي پاتې کېږي چې ترلاسه کړي یې دي |
| لارې، DNS او د اپلیکیشن حد | یوازې د ترتیباتو متن په توګه | Android یې د نښلولو پر مهال د VpnService.Builder له لارې پلي کوي |
| د ووېشل شوي ټنل اپلیکیشنونو لیست | کله ناکله | د پاکټ نومونه د وسیلو ترمنځ توپیر لري، او لیست د کلاینټ حالت دی |
دوه کرښې ډېره ګډوډي جوړوي. هغه کیلي چې په وسیله جوړه شوې او د صادرېدونکې نه وي نښه شوې، واقعاً د اپلیکیشن ډاټا سره ځي، نو بدله یې نوې کیلي او هغې ته صادر شوی سند دی. نوي تلیفون ته کاپي شوی غونډې ټوکن معمولاً په لومړي تازه کې مري، چې د ناکام وارداتو په څېر ښکاري.
واردات یو تجزیه دی، بیا د رضایت غوښتنه
د ترلاسه کوونکي په خوا کې، واردات یو تجزیه ده چې بیا ثبت تعقیبوي. کلاینټ ترتیبات لولي، ګوري چې هر یاد شوی بلاک شته، بیا د ټنل تعریف خپل سانډباک ته لیکي، نو هغه دوتنه چې تاسو له ډاونلوډونو غوره کړې هغه نه ده چې وروسته نښلېږي.
بیا د اجازې هغه ګام راځي چې هېڅ دوتنه یې نه شي تېرولی. Android غواړي چې اپلیکیشن VpnService.prepare() وبللي او ستاسو رضایت واخلي مخکې له دې چې ټنل جوړ کړي، نو نوی وارد شوی پروفایل بیا هم یو ځل د سیسټم ډیالوګ ښیي. بیا ټنل په ښکاره ډول د addAddress، addRoute، addDnsServer او د هر اپلیکیشن لارښوونې لپاره د addAllowedApplication یا addDisallowedApplication له لارې جوړېږي. له دې هېڅ یو د پای ټکي څخه نه رامنځته کېږي، نو هماغه پروفایل کېدای شي په دوو کلاینټونو کې بېل اغېزمن لارښوونې جوړې کړي.
د سند پر بنسټ ترتیبات یوه بله څانګه ورزیاتوي. کله چې سرور یوې ځانګړې وسیلې ته سند صادروي، لکه MDM او SCEP نوملیکنه چې کوي، نو په دوهم تلیفون کې یې بیا کارول یا تر هغه کار کوي چې سرور هر هویت لپاره یوه غونډه تحمیل کړي یا د TLS لاس ورکولو پر مهال ناکامېږي. د بیا کارولو پلان مخکې د جاري کوونکي تګلاره وګورئ.
د زوړ د تقاعد مخکې نوی وسیله تایید کړئ
زوړ تلیفون نښلول شوی وساتئ تر هغه چې نوی له شین آیکون څخه ښه څه پاس کړي. له نوي وسیلې وتلو پته او هغه DNS حل کوونکی چې په ریښتیا یې کارولی تایید کړئ. که split tunneling مهم وي، هغه اپلیکیشن چالان کړئ چې باید ټنل ته مخه کړي او یو چې نه باید، بیا وګورئ کوم یو ستاسو ISP ته رسېږي.
یوه کتنه د وتلو پته فیصله کوي. په تلیفون براوزر کې https://ifconfig.me پرانیزئ، بیا په هماغه Wi-Fi کې له لپ ټاپ څخه curl -s https://ifconfig.me وچلوئ او دواړه ځوابونه له هغې پتې سره پرتله کړئ چې ستاسو چمتو کوونکي ټاکلې ده.
بیا یوازې زوړ هویت تقاعد کړئ، او دا د جاري کوونکي له لارې وکړئ: سند لغوه کړئ یا وسیله له حساب څخه لرې کړئ. له ډاونلوډونو دوتنه ړنګول هېڅ نه ختموي، ځکه دوه وسیلې چې یو شان سند لري په سرور لاګ کې یو شان ښکاري.
که صادرات د لېږد وړ نه وي، حل نوې نوملیکنه ده نه عامه ترتیباتي بنډل. د دوهمې وسیلې لپاره پروفایل وغواړئ، یا په نوي تلیفون کې د کیلي جوړه جوړه کړئ او CSR وسپارئ؛ وروتر دی، او دا هغه لاره ده چې جاري کوونکی یې ملاتړ کوي.
د هېڅ څه د ړنګولو مخکې چکلیسټ وچلوئ: نوی وسیله نښلېږي، وتلو پته او DNS سم دي، د هر اپلیکیشن حد ستاسو د ارادې سره سم دی، زوړ هویت لغوه شوی، او ساتل شوې هر ترتیباتي دوتنه په کوډ شوي ذخیره کې ده.