Uendeshaji wa L2TP kwenye Android: script inaweza kuomba, si kuijenga

Hadithi ni kwamba L2TP kwenye Android ni kitu kingine ambacho script ya shell inaweza kuanzisha: ongeza njia, ita huduma ya zamani, imekwisha. Haiwezi kuwa hivyo, kwa sababu tabaka nne tofauti lazima zikubaliane kabla handaki haijabeba pakiti. Tabaka la IPsec linalinda njia, L2TP linabeba kikao, PPP inajadili kiungo, na Android lazima isajili matokeo kama VPN ambayo inaweza kuelekeza njia kuzunguka. Nimeona hii ikijaribiwa mara mbili kwa amri zilizonakiliwa, na mara zote mbili njia ilikuwa ipo wakati hakuna kitu kilichosimbwa.

Mabadiliko ya njia yanafanikisha nini hasa

Kuongeza njia huamua pakiti itaenda wapi baadaye. Haihusiani uhusiano wa usalama, haifungui kikao cha L2TP, na haiendeshi mabadilishano ya PPP yanayozalisha anwani, mwenza na mipangilio ya DNS. Kwenye simu, matokeo yanayoonekana ni trafiki inayotoka kwa njia isiyo sahihi, au inayotoka na kufa, bila hali ya handaki mahali popote.

Vile vile ni kweli kwa mwito wa huduma ulionakiliwa kutoka toleo la zamani. Mabomba ya ndani ya VPN ya Android si API ya uendeshaji iliyochapishwa, na muamala wenye nambari kutoka toleo lingine unaweza kugusa operesheni nyingine au kuhitaji upendeleo ambao script haina. Uendeshaji unaobeba nenosiri haupaswi kamwe kutegemea hoja za ndani zilizokisiwa, kwa sababu hali ya kushindwa ni no-op ya kimya au profaili iliyoundwa nusu ambayo hakuna anayeisafisha.

Wamiliki wanne, na script si mmoja wao

Wachukue kwa mpangilio. IPsec huanzisha na kudumisha njia iliyolindwa na kuthibitisha wenzi. L2TP hubeba kikao juu yake, na utabakaji ndio sababu ya kiwango kuwachukua kama mifumo tofauti badala ya itifaki moja. Ndani yake, PPP hujadili vigezo vya kiungo ambavyo mteja atatumia. Kisha Android inamiliki upande wa jukwaa: kiolesura cha VPN kilichosajiliwa, wigo kwa kila programu, hali ya always-on na mzunguko wa maisha unaoamua kinachotokea programu inapouawa.

Script inaweza kuona tabaka la mwisho pekee, na kwa kawaida kwa njia isiyo ya moja kwa moja. Inaweza kumwomba mteja kuunganisha ikiwa mteja huyo anafichua udhibiti ulioandikwa, na baadaye inaweza kufuatilia hali ya kiolesura. Haiwezi kuchukua nafasi ya tabaka tatu zilizo chini, na haiwezi kulazimisha jukwaa kuchukua kiolesura kisichosajiliwa kama VPN.

Kwa nini daemon pia si njia ya mkato

Kuanzisha daemon ya Linux yenye upendeleo kwenye kifaa inaonekana kama kipande kinachokosekana, na mara nyingi huinua handaki kweli. Kinachoshindwa kufanya ni kusajili handaki hilo kwa Android. Kiolesura kipo ndani ya kernel, lakini uteuzi wa VPN wa jukwaa, uelekezaji kwa kila programu, sera ya always-on na mzunguko wa maisha hawajui kuhusu hilo, na mabadiliko ya njia na DNS ya daemon yenyewe yanashindana na meneja wa mtandao kwa jedwali sawa.

Matokeo ni muunganisho unaofanya kazi kwa trafiki ya daemon na kwa njia ya ajabu haufanyi kazi kwa programu uliyojali, au ule unaodumu hadi mfumo utathmini upya mitandao yake. Hakuna matokeo yoyote ni hitilafu ya jukwaa; ni mpaka kati ya kumiliki soketi na kumiliki kifaa cha VPN.

Njia zinazotumika zinaonekanaje

Ikiwa shirika linaweza kuhamia profaili ambayo Android yenyewe hutoa, njia ya jukwaa ndiyo ya uaminifu. Kuanzia API 30, VpnManager inasaidia utoaji na udhibiti wa profaili za VPN za jukwaa na programu, na mtiririko wa idhini unaohusishwa na programu inayopiga simu. Si kigeuzi cha L2TP: modeli ya profaili inayotoa kwa IKEv2 haitafsiri usanidi uliopo wa L2TP, na kubadilisha itifaki ni uhamiaji, si kubadilisha jina. Vitambulisho, njia, DNS ya kibinafsi na ruhusa za ufikiaji lazima zihamishwe kwa kusudi.

Ikiwa huduma lazima ibaki L2TP/IPsec, mchanganyiko unaotumika ni mteja na toleo la mfumo ambalo mwendeshaji huandika kweli, na mkataba wake wa uendeshaji ikiwa upo. Wakati hakuna udhibiti ulioandikwa usio na uangalizi, jibu sahihi ni muunganisho wa mwongozo unaotumika, si script dhaifu yenye upendeleo ambayo kwa bahati inafanya kazi kwenye build moja.

Uendeshaji sahihi hufanya nini

Ukiwa na udhibiti ulioandikwa, uendeshaji una kazi ndogo na inayoweza kutetewa: omba muunganisho uliotajwa, subiri utayari, simama kwenye kushindwa kwa uthibitishaji au usanidi, endesha mzigo uliokusudiwa, na uachie usafishaji kwa sehemu inayomiliki muunganisho. Vitambulisho hubaki kwa mteja anayejua kuvihifadhi na kuvizungusha.

Andika ni sehemu gani inamiliki tabaka gani kabla ya kuandika mstari wa kwanza, na uangalie matokeo dhidi ya hayo:

• IPsec na PPP hushughulikiwa na mteja, si njia za script.
• Muunganisho huonekana katika hali ya VPN ya jukwaa, kwa hiyo wigo kwa kila programu na always-on vinatumika kwake.
• Hakuna mwito wa huduma wa ndani, nambari ya muamala au hoja iliyokisiwa inayobeba kitambulisho.
• Kushindwa kwa hatua yoyote hakuachi profaili iliyosajiliwa nusu.