Eksportimi i VPN në Android: çfarë kalon vërtet në një telefon të ri
Një eksport VPN në Android dërgon cilësime dhe ndonjëherë një çelës, por kurrë autorizimin e pajisjes. Kontrolloni çfarë kalon vërtet përpara se të fshini telefonin e vjetër.
Eksportimi i një profili VPN nga Android duket si një hap rezervimi, dhe menuja që e ofron nuk bën asgjë për ta korrigjuar atë përshtypje. Ajo që ju mbetet është një hyrje për parser, një çelës që sistemi operativ mund të mos e kthejë kurrë, dhe një autorizim i lëshuar pikërisht për atë telefon. Ndajini këto tre dhe shfaqet pyetja e dobishme: cila pjesë mungon ende në pajisjen e re?
Skedari është pjesa e lehtë. Dy të tjerat përcaktojnë nëse migrimi funksionon.
Çfarë përmban vërtet një profil i eksportuar
Hapni skedarin në një redaktues teksti përpara se t'i besoni. Një profil OpenVPN është një gjuhë e vogël konfigurimi: remote, proto, data-ciphers dhe shpesh blloqe <ca>, <cert>, <key> ose <tls-crypt> në linjë që klienti ia dorëzon stack-ut të vet TLS. Një konfigurim WireGuard është më i sheshtë: [Interface] mban PrivateKey dhe Address, pastaj një [Peer] për çdo pikë fundore me PublicKey, AllowedIPs dhe Endpoint. IKEv2 vjen si .mobileconfig me fjalorë ngarkese në vend të blloqeve të çelësave.
Asnjë prej atyre teksteve nuk është kredencial në vetvete. Kredenciali është çelësi privat, dhe çdo format ose e ngjit brenda ose tregon një alias që zgjidhet vetëm brenda klientit që e krijoi.
Ku banon vërtet çelësi në Android
Android i mban të dhënat e aplikacioneve nën /data/data/<package>, të lexueshme vetëm nga UID-ja e atij aplikacioni. Nuk ka asnjë mënyrë të mbështetur për të kopjuar drejtorinë private të një aplikacioni tjetër nga një telefon pa root, dhe adb backup pushoi së qeni një përgjigje e përgjithshme pasi Android 12 e shfuqizoi dhe klientët filluan të deklarojnë allowBackup="false". Pra, një eksport nga një klient Android nënkupton atë që implementon ai klient, jo një kopje të sistemit të skedarëve.
Shtresa e identitetit qëndron nën aplikacion. Nëse një klient e ka importuar çelësin tuaj në Android Keystore, materiali gjenerohet ose mbështillet atje, dhe eksportet e mëvonshme mund të mbajnë një referencë për një alias Keystore në vend të bajteve. Çelësat me mbështetje harduerike janë ndërtuar që as aplikacioni pronar të mos mund t'i lexojë, siç përshkruan Keystore documentation, prandaj një profil që tregon atë alias importohet pastër në të njëjtin telefon dhe dështon kudo tjetër.
Ky nuk është një eksport i prishur. Është vetia që iu kërkua platformës të ofronte.
Çfarë një profil nuk mund të mbartë
Vendosni objektet përballë asaj që do të pranojë një destinacion:
| Objekti | Kalon? | Pse |
|---|---|---|
| Protokolli dhe pika fundore | Po, nëse klienti i destinacionit e mbështet | Tekst i thjeshtë në profil |
| Certifikata CA dhe kontrolli i emrit të hostit | Zakonisht | Material publik, por emri i hostit duhet të përputhet ende me certifikatën |
| Certifikata e klientit | Po, përveç nëse është e lidhur për pajisje | Certifikatat janë të transportueshme; lëshuesi vendos sa pajisje mund të përdorin një |
| Çelësi privat | Vetëm nëse është gjeneruar jashtë Keystore | Çelësat me mbështetje harduerike nuk mund të eksportohen, vetëm të zëvendësohen |
| Llogaria, MFA, sesioni SSO | Jo | Tokenët skadojnë dhe mbeten të lidhur me pajisjen që i mori |
| Rrugët, DNS dhe shtrirja e aplikacioneve | Vetëm si tekst konfigurimi | Android i zbaton kur lidhet përmes VpnService.Builder |
| Lista e aplikacioneve të tunelit të ndarë | Rrallë | Emrat e paketave ndryshojnë midis pajisjeve, dhe lista është gjendje e klientit |
Dy rreshta shkaktojnë pjesën më të madhe të konfuzionit. Një çelës i gjeneruar në pajisje dhe i shënuar si i paeksportueshëm humbet vërtet me të dhënat e aplikacionit, prandaj zëvendësimi është një çelës i ri plus një certifikatë e lëshuar për të. Një token sesioni i kopjuar në një telefon të ri zakonisht vdes në rifreskimin e parë, gjë që lexohet si import i dështuar.
Importi është një analizë, pastaj një kërkesë pëlqimi
Në anën marrëse, importi është një analizë e ndjekur nga një regjistrim. Klienti lexon konfigurimin, kontrollon që çdo bllok i referuar ekziston, pastaj shkruan përkufizimin e tunelit në sandbox-in e vet, dhe prandaj skedari që zgjodhët nga Shkarkimet nuk është ai që lidhet më pas.
Pastaj vjen një hap autorizimi që asnjë skedar nuk mund ta kapërcejë. Android kërkon që aplikacioni të thërrasë VpnService.prepare() dhe të marrë pëlqimin tuaj përpara se të mund të krijojë një tunel, prandaj një profil i sapoimportuar shfaq ende një herë dialogun e sistemit. Pastaj tuneli ndërtohet në mënyrë eksplicite përmes addAddress, addRoute, addDnsServer dhe addAllowedApplication ose addDisallowedApplication për rrugëtimin sipas aplikacionit. Asgjë nga këto nuk nënkuptohet nga një pikë fundore, prandaj i njëjti profil mund të prodhojë një grup rrugësh efektive të ndryshme në dy klientë.
Konfigurimet e bazuara në certifikata shtojnë një degëzim tjetër. Kur serveri lëshon një certifikatë për një pajisje të caktuar, siç bëjnë MDM dhe regjistrimi SCEP, ripërdorimi i saj në një telefon të dytë ose funksionon derisa serveri të imponojë një sesion për identitet, ose dështon në shtrëngimin e duarve TLS. Kontrolloni politikën e lëshuesit përpara se të planifikoni ripërdorimin.
Verifikoni pajisjen e re përpara se të tërhiqni të vjetrën
Mbani telefonin e vjetër të lidhur derisa i riu të ketë kaluar diçka më të mirë se një ikonë e gjelbër. Konfirmoni adresën e daljes nga pajisja e re dhe zgjidhësin DNS që përdori vërtet. Nëse split tunneling ka rëndësi, hapni një aplikacion që duhet ta anashkalojë tunelin dhe një që nuk duhet, pastaj shihni cili arrin te ofruesi juaj.
Një kontroll vendos adresën e daljes. Hapni https://ifconfig.me në shfletuesin e telefonit, pastaj ekzekutoni curl -s https://ifconfig.me nga një laptop në të njëjtin Wi-Fi dhe krahasoni të dyja përgjigjet me adresën që ofruesi juaj caktoi.
Vetëm atëherë tërhiqni identitetin e vjetër, dhe bëjeni përmes lëshuesit: revokoni certifikatën ose hiqni pajisjen nga llogaria. Fshirja e një skedari nga Shkarkimet nuk përfundon asgjë, sepse dy pajisje që mbajnë të njëjtën certifikatë duken njësoj në regjistrin e serverit.
Nëse eksporti rezulton i patransportueshëm, zgjidhja është një regjistrim i ri dhe jo një paketë konfigurimi publike. Kërkoni një profil për një pajisje të dytë, ose gjeneroni çiftin e çelësave në telefonin e ri dhe dorëzoni CSR-në; më e ngadaltë, dhe është rruga që mbështet lëshuesi.
Kaloni listën e kontrollit përpara se të fshini diçka: pajisja e re lidhet, adresa e daljes dhe DNS përputhen, shtrirja sipas aplikacionit është siç e kishit menduar, identiteti i vjetër është revokuar, dhe çdo skedar konfigurimi i ruajtur ndodhet në ruajtje të kriptuar.