Uhamishaji wa VPN kwenye Android: ni nini hasa huhamia kwenye simu mpya
Uhamishaji wa VPN kwenye Android hutuma mipangilio na wakati mwingine ufunguo, lakini kamwe haitumi idhini ya kifaa. Angalia ni nini hasa huhamia kabla ya kufuta simu ya zamani.
Kuhamisha profaili ya VPN kutoka Android huonekana kama hatua ya chelezo, na menyu inayotoa hiyo haifanyi chochote kurekebisha hisia hiyo. Unachobaki nacho ni ingizo la parser, ufunguo ambao mfumo wa uendeshaji huenda usiurudishe kamwe, na idhini iliyotolewa kwa simu hiyo mahususi. Tenganisha hivyo vitatu na swali lenye manufaa linaibuka: sehemu gani bado haipo kwenye kifaa kipya?
Faili ni sehemu rahisi. Nyingine mbili huamua kama uhamishaji utafanya kazi.
Profaili iliyohamishwa ina nini hasa
Fungua faili kwenye kihariri cha maandishi kabla ya kuiamini. Profaili ya OpenVPN ni lugha ndogo ya usanidi: remote, proto, data-ciphers, na mara nyingi vitalu vya ndani <ca>, <cert>, <key> au <tls-crypt> ambavyo mteja hukabidhi kwa stack yake ya TLS. Usanidi wa WireGuard ni tambarare zaidi: [Interface] huwa na PrivateKey na Address, kisha [Peer] moja kwa kila ncha yenye PublicKey, AllowedIPs na Endpoint. IKEv2 huja kama .mobileconfig na kamusi za mzigo badala ya vitalu vya ufunguo.
Hakuna moja ya maandishi hayo ni kitambulisho chenyewe. Kitambulisho ni ufunguo wa faragha, na kila muundo ama unauunga ndani au unaelekeza kwa jina bandia ambalo hutatuliwa tu ndani ya mteja uliounda.
Ufunguo unaishi wapi hasa kwenye Android
Android huhifadhi data ya programu chini ya /data/data/<package>, inayosomwa tu na UID ya programu hiyo. Hakuna njia inayoungwa mkono ya kunakili saraka ya faragha ya programu nyingine kutoka simu isiyo na root, na adb backup iliacha kuwa jibu la jumla baada ya Android 12 kuiondoa na wateja kuanza kutangaza allowBackup="false". Kwa hiyo uhamishaji kutoka mteja wa Android unamaanisha kile mteja huyo anatekeleza, si nakala ya mfumo wa faili.
Tabaka la utambulisho liko chini ya programu. Ikiwa mteja aliingiza ufunguo wako kwenye Android Keystore, nyenzo hutengenezwa au kufungwa hapo, na uhamishaji wa baadaye unaweza kubeba rejeleo la jina bandia la Keystore badala ya baiti. Funguo zinazoungwa mkono na maunzi zimeundwa hivi kwamba hata programu inayomiliki haiwezi kuzisoma, kama Keystore documentation inavyoeleza, kwa hiyo profaili inayoelekeza kwa jina bandia hilo huingizwa safi kwenye simu hiyo hiyo na kushindwa kila mahali pengine.
Huo si uhamishaji uliovunjika. Ni sifa iliyoombwa kwenye jukwaa.
Profaili haiwezi kubeba nini
Linganisha vitu na kile marudio yatakayokubali:
| Kitu | Huhamia? | Kwa nini |
|---|---|---|
| Itifaki na ncha | Ndiyo, ikiwa mteja wa marudio anaelewa | Maandishi wazi kwenye profaili |
| Cheti cha CA na ukaguzi wa jina la mwenyeji | Kwa kawaida | Nyenzo za umma, lakini jina la mwenyeji lazima bado lilingane na cheti |
| Cheti cha mteja | Ndiyo, isipokuwa kimefungwa kwa kila kifaa | Vyeti hubebeka; mtoaji huamua vifaa vingapi vinaweza kutumia kimoja |
| Ufunguo wa faragha | Tu ikiwa ulitengenezwa nje ya Keystore | Funguo zinazoungwa mkono na maunzi haziwezi kuhamishwa, zinaweza tu kubadilishwa |
| Akaunti, MFA, kikao cha SSO | Hapana | Tokeni huisha na kubaki zimefungwa kwa kifaa kilichozipata |
| Njia, DNS na wigo wa programu | Tu kama maandishi ya usanidi | Android huzitumia wakati wa kuunganisha kupitia VpnService.Builder |
| Orodha ya programu za handaki lililogawanywa | Mara chache | Majina ya kifurushi hutofautiana kati ya vifaa, na orodha ni hali ya mteja |
Safu mbili husababisha mkanganyiko mwingi. Ufunguo uliotengenezwa kwenye kifaa na kutiwa alama kuwa hauwezi kuhamishwa hupotea kweli pamoja na data ya programu, kwa hiyo badala yake ni ufunguo mpya pamoja na cheti kilichotolewa kwa ajili yake. Tokeni ya kikao iliyonakiliwa kwenye simu mpya kwa kawaida hufa kwenye uboreshaji wa kwanza, jambo ambalo huonekana kama uingizaji ulioshindwa.
Uingizaji ni uchanganuzi, kisha ombi la ridhaa
Kwa upande wa mpokeaji, uingizaji ni uchanganuzi unaofuatiwa na uandishi. Mteja husoma usanidi, hukagua kwamba kila kizuizi kilichotajwa kipo, kisha huandika ufafanuzi wa handaki kwenye sandbox yake mwenyewe, ndiyo sababu faili uliyochagua kutoka Upakuaji si kile kinachounganishwa baadaye.
Kisha huja hatua ya idhini ambayo hakuna faili inayoweza kuiruka. Android inahitaji programu kuita VpnService.prepare() na kupata ridhaa yako kabla ya kuweka handaki, kwa hiyo profaili iliyoingizwa hivi punde bado huonyesha kidirisha cha mfumo mara moja. Kisha handaki hujengwa waziwazi kupitia addAddress, addRoute, addDnsServer na addAllowedApplication au addDisallowedApplication kwa uelekezaji wa kila programu. Hakuna moja ya hayo inayodokezwa na ncha, kwa hiyo profaili hiyo hiyo inaweza kutoa seti tofauti ya njia zenye matokeo kwa wateja wawili.
Mipangilio inayotegemea vyeti huongeza tawi lingine. Seva inapotoa cheti kwa kifaa mahususi, kama MDM na usajili wa SCEP hufanya, kutumia tena kwenye simu ya pili ama hufanya kazi hadi seva ilazimishe kikao kimoja kwa kila utambulisho au hushindwa kwenye kupeana mikono kwa TLS. Angalia sera ya mtoaji kabla ya kupanga kutumia tena.
Thibitisha kifaa kipya kabla ya kustaafu cha zamani
Weka simu ya zamani ikiwa imeunganishwa hadi mpya ipite kitu bora kuliko ikoni ya kijani. Thibitisha anwani ya kutoka kutoka kifaa kipya na kisuluhishi cha DNS kilichotumia kweli. Ikiwa split tunneling ni muhimu, zindua programu inayopaswa kupita handaki na moja isiyopaswa, kisha uone ipi inafikia mtoa huduma wako.
Ukaguzi mmoja huamua anwani ya kutoka. Fungua https://ifconfig.me kwenye kivinjari cha simu, kisha endesha curl -s https://ifconfig.me kutoka kwa kompyuta ya mkononi kwenye Wi-Fi hiyo hiyo na linganisha majibu yote mawili na anwani uliyopewa na mtoa huduma wako.
Ndipo tu ustaafu utambulisho wa zamani, na ufanye hivyo kupitia mtoaji: batilisha cheti au ondoa kifaa kwenye akaunti. Kufuta faili kutoka Upakuaji hakumalizi chochote, kwa sababu vifaa viwili vyenye cheti kimoja huonekana sawa kwenye kumbukumbu ya seva.
Ikiwa uhamishaji unaonekana haubebeki, suluhisho ni usajili mpya na si kifurushi cha usanidi cha umma. Omba profaili kwa kifaa cha pili, au tengeneza jozi ya funguo kwenye simu mpya na uwasilishe CSR; ni polepole zaidi, na ndiyo njia inayoungwa mkono na mtoaji.
Endesha orodha ya ukaguzi kabla ya kufuta chochote: kifaa kipya kinaunganisha, anwani ya kutoka na DNS zinalingana, wigo wa kila programu ni kama ulivyokusudia, utambulisho wa zamani umebatilishwa, na faili yoyote ya usanidi uliyohifadhi iko kwenye hifadhi iliyosimbwa.