Klient VPN portativ pa të drejta administratori: çfarë thyhet ende

Portativ përshkruan instaluesin, jo kernelin. Një klient mund të vijë si një skedar i vetëm i ekzekutueshëm në një USB dhe gjithsesi të ketë nevojë për një pajisje tuneli, një hyrje në tabelën e rrugëve dhe një shkrim te zgjidhësi përpara se të lëvizë paketa e parë. Cila nga këto tre do t'ju lejojë makina e synuar të prekni, përcakton nëse ai ndërtim funksionon fare atje. Testet më poshtë i përgjigjen pyetjes në rendin në të cilin klienti do t'i hasë.

Portativ mbulon tre premtime të ndryshme, dhe vetëm një është falas

Pa instalues do të thotë që furnizuesi nuk regjistroi një shërbim, nuk dërgoi një çinstalues dhe nuk shtoi një zë menyje. Pa administrator do të thotë që një llogari e zakonshme mund të nisë klientin dhe të përfundojë një lidhje. Pa ndryshim në host do të thotë që makina duket identike pasi të dilni. Faqet e shkarkimit që thonë portativ zakonisht premtojnë vetëm të parën prej tyre, dhe dy të tjerat janë vendi ku dështojnë vendosjet. Një ndërtim mund të jetë portativ edhe në kuptimin e ngushtë: ai ekzekutohet nga media vetëm-lexim pa asnjë shkrim skedarësh pikë, gjë që ende nuk thotë asgjë për stivën e rrjetit.

Premtimet e shtrenjta janë e dyta dhe e treta. Një skedar i vetëm i ekzekutueshëm që ka nevojë për një përshtatës, një rrugë ose një shkrim te zgjidhësi i kërkon sistemit operativ një autoritet që etiketa portativ nuk e ka mbuluar kurrë.

Gjeni ndihmësin e privilegjuar që klienti do të thërrasë

Pothuajse asnjë klient VPN nuk i lëviz paketat vetë. Në Windows rruga e të dhënave kalon nëpër filtra WFP dhe Base Filtering Engine, në macOS nëpër një ofrues NetworkExtension që përdoruesi e miraton në Cilësimet e Sistemit, dhe në Linux nëpër një pajisje tun plus stivën e rrugëzimit. Skedari binar që kopjuat është një sipërfaqe kontrolli për ato komponentë, jo një zëvendësim i tyre. Pyetni cilën komponent pret klienti, pastaj konfirmoni që është instaluar, po funksionon dhe mund të përdoret nga llogaria juaj.

Linux është vendi më i lehtë për ta provuar, sepse verifikimi është një thirrje e vetme sistemi. Hapja e /dev/net/tun dhe kërkimi i një pajisjeje nga kerneli kërkon CAP_NET_ADMIN, dhe dokumentacioni i kernelit për TUN/TAP përmend si rregullin e pronësisë ashtu edhe aftësinë. Kryeni testin me llogarinë që do të nisë klientin, jo si root.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

Një gabim leje në rreshtin e mesit është përgjigjja që po kërkoni: kjo llogari nuk mund të krijojë një ndërfaqe tuneli, kështu që çdo klient në hapësirën e përdoruesit që ka nevojë për një dështon në lidhje, jo në shkarkim. Rreshti i fundit heq pajisjen e provës dhe nuk shtyp asgjë kur funksionon. Nëse të dy rreshtat kanë sukses, hosti nuk ndryshoi asgjë përgjithmonë.

Testoni ndryshimet e rrugës dhe të zgjidhësit përpara lidhjes së parë

Tuneli i ndarë e kthen një lidhje në një vendim rrugëzimi, ndërsa një tunel i plotë e kthen atë në një zëvendësim të rrugës së parazgjedhur. Të dyja janë shkrime në stivën e rrjetit të hostit, dhe të dyja dështojnë për një llogari pa privilegje edhe kur vetë klienti nis pastër. Zgjidhësi është shkrimi i tretë, dhe në hostet me systemd zakonisht është ai që thyhet i fundit. Ai rend ka rëndësi kur vendosni ku të shpenzoni një instalim të ngritur.

Një provë rruge ka nevojë për një destinacion që ju intereson vërtet, prandaj zëvendësoni vendmbajtësin më poshtë me një nënrrjet nga profili juaj. Emri i pajisjes duhet të ekzistojë që rruga të mund të ngjitet në diçka.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Nëse rreshti i parë kthen RTNETLINK answers: Operation not permitted, llogaria nuk mund të instalojë rrugën private që kërkon profili. Rreshti i dytë provon të njëjtën të drejtë në të kundërt, gjë që ka rëndësi sepse një klient që mund të shtojë rrugë por jo t'i heqë ato lë pas një tabelë të thyer. Pastaj kërkimi te zgjidhësi tregon nëse emrat privatë zgjidhen përmes tunelit ose rrjedhin te zgjidhësi të cilin hosti tashmë i beson.

Kryeni të tre ndërsa pajisja e provës ekziston ende, pastaj fshijeni. Një rrugë që tregon një pajisje të zhdukur është arsyeja më e zakonshme që një laptop humbet lidhshmërinë pas një lidhjeje të dështuar.

Vendosni çfarë duhet t'i mbijetojë sesionit

Fshirja e dosjes nuk është plan pastrimi. Përshtatësit, rrugët, cilësimet e zgjidhësit, certifikatat e besuara dhe kredencialet e ruajtura mund secili t'i mbijetojë procesit, dhe një shërbim në nisje mund të rikthejë disa prej tyre pa pyetur. Shkruani çfarë lejohet t'i lërë klienti pas vetes përpara se ta ekzekutoni, jo pas shkëputjes së parë të dështuar.

Rregulli praktik është të bëni një fotografi të tre sipërfaqeve që do të ndryshoni dhe t'i krahasoni më pas. Regjistroni ndërfaqet, tabelën kryesore të rrugëzimit dhe gjendjen e zgjidhësit përpara lidhjes së parë, pastaj përsëritni të njëjtat tre lexime pasi klienti të ketë dalë.

ip -brief addr show
ip route show table main
resolvectl status

Çdo gjë që është e pranishme në kapjen e dytë dhe mungon në të parën ka nevojë për një pronar. Ose klienti e heq në dalje, ose ju e hiqni me të njëjtat komanda që e krijuan, dhe ajo heqje i takon shënimeve të vendosjes, jo kujtesës së dikujt për atë që ndodhi. Në Windows leximet ekuivalente janë Get-NetAdapter, Get-NetRoute dhe Get-DnsClientServerAddress, të cilat nuk kërkojnë ngritje por tregojnë të njëjtat mbetje.