Prenosni odjemalec VPN brez skrbniških pravic: kaj se še vedno zlomi

Prenosno opisuje namestitveni program, ne jedra. Odjemalec lahko prispe kot ena izvršljiva datoteka na USB ključku in še vedno potrebuje tunelsko napravo, vnos v tabeli poti in zapis v razreševalniku, preden se premakne prvi paket. Katero od teh treh vam bo ciljni stroj pustil dotakniti, odloča, ali ta gradnja tam sploh deluje. Spodnji preizkusi odgovarjajo na vprašanje v vrstnem redu, v katerem jih bo odjemalec srečal.

Prenosnost pokriva tri različne obljube in samo ena je brezplačna

Brez namestitvenega programa pomeni, da ponudnik ni registriral storitve, ni poslal odstranjevalnika in ni dodal vnosa v meni. Brez skrbnika pomeni, da lahko običajen račun zažene odjemalca in dokonča povezavo. Brez spremembe gostitelja pomeni, da je stroj po izhodu videti enako. Strani za prenos, ki pišejo prenosno, običajno obljubljajo samo prvo od tega, drugi dve pa sta mesto, kjer uvajanja spodletijo. Gradnja je lahko prenosna tudi v ožjem smislu: teče z medija samo za branje brez kakršnih koli zapisov pikčastih datotek, kar o omrežnem skladu še vedno ne pove nič.

Drage obljube so druga in tretja. Ena izvršljiva datoteka, ki potrebuje vmesnik, pot ali zapis v razreševalniku, od operacijskega sistema zahteva pooblastilo, ki ga oznaka prenosno nikoli ni pokrila.

Poiščite privilegiranega pomočnika, ki ga bo odjemalec poklical

Skoraj noben odjemalec VPN sam ne premika paketov. V Windowsu pot podatkov poteka skozi filtre WFP in Base Filtering Engine, v macOS skozi ponudnika NetworkExtension, ki ga uporabnik odobri v Sistemskih nastavitvah, v Linuxu pa skozi napravo tun in usmerjevalni sklad. Kopirana binarna datoteka je nadzorna površina za te komponente, ne njihov nadomestek. Vprašajte, katero komponento odjemalec pričakuje, nato potrdite, da je nameščena, da teče in da jo vaš račun lahko uporablja.

Linux je najlažje mesto za dokaz tega, ker je preverjanje en sam sistemski klic. Odpreti /dev/net/tun in prositi jedro za napravo zahteva CAP_NET_ADMIN, in jedrna dokumentacija o TUN/TAP navaja tako pravilo lastništva kot zmožnost. Preizkus zaženite z računom, ki bo zagnal odjemalca, ne kot root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Napaka zaradi dovoljenj v srednji vrstici je odgovor, ki ste ga iskali: ta račun ne more ustvariti tunelskega vmesnika, zato vsak odjemalec v uporabniškem prostoru, ki ga potrebuje, spodleti pri povezovanju, ne pri prenašanju. Zadnja vrstica odstrani preskusno napravo in ne izpiše ničesar, ko deluje. Če uspeta obe vrstici, gostitelj ni trajno spremenil ničesar.

Preizkusite spremembe poti in razreševalnika pred prvo povezavo

Razdeljeni tunel spremeni povezavo v odločitev o usmerjanju, medtem ko jo popoln tunel spremeni v zamenjavo privzete poti. Oboje so zapisi v omrežni sklad gostitelja in oboje spodleti za račun brez privilegijev, tudi ko se odjemalec sam začne čisto. Razreševalnik je tretji zapis in na gostiteljih s systemd je običajno tisti, ki se zlomi zadnji. Ta vrstni red je pomemben, ko se odločate, kam vložiti povišano namestitev.

Preizkus poti potrebuje cilj, ki vam je resnično pomemben, zato namesto spodnjega nadomestnega znaka vstavite podomrežje iz svojega profila. Ime naprave mora obstajati, da se pot lahko na kaj pripne.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Če prva vrstica vrne RTNETLINK answers: Operation not permitted, račun ne more namestiti zasebne poti, ki jo zahteva profil. Druga vrstica dokazuje isto pravico obratno, kar je pomembno, ker odjemalec, ki zna dodajati poti, ne pa jih odstranjevati, za seboj pusti pokvarjeno tabelo. Nato poizvedba pri razreševalniku pokaže, ali se zasebna imena razrešujejo skozi tunel ali uhajajo k razreševalniku, ki mu gostitelj že zaupa.

Zaženite vse tri, dokler preskusna naprava še obstaja, nato jo izbrišite. Pot, ki kaže na izginulo napravo, je najpogostejši razlog, da prenosnik po neuspešni povezavi izgubi povezljivost.

Odločite, kaj mora sejo preživeti

Brisanje mape ni načrt čiščenja. Vmesniki, poti, nastavitve razreševalnika, zaupanja vredni certifikati in shranjene poverilnice lahko vsak preživijo proces in storitev ob zagonu lahko nekatere obnovi, ne da bi vprašala. Zapišite, kaj odjemalec sme pustiti za seboj, preden ga zaženete, ne po prvi neuspešni prekinitvi.

Praktično pravilo je narediti posnetek treh površin, ki jih boste spremenili, in jih nato primerjati. Pred prvo povezavo zabeležite vmesnike, glavno usmerjevalno tabelo in stanje razreševalnika, nato pa ponovite iste tri meritve, ko odjemalec konča.

ip -brief addr show
ip route show table main
resolvectl status

Vse, kar je v drugem zajemu prisotno in v prvem manjka, potrebuje lastnika. Ali odjemalec to ob izhodu odstrani, ali to odstranite vi z istimi ukazi, ki so to ustvarili, in to odstranjevanje spada v opombe za uvajanje, ne v spomin nekoga o tem, kaj se je zgodilo. V Windowsu so enakovredne meritve Get-NetAdapter, Get-NetRoute in Get-DnsClientServerAddress, ki ne potrebujejo povišanja, a kažejo iste ostanke.