Android VPN eksporti: yangi telefonga aslida nima o'tadi
Android VPN eksporti sozlamalarni va ba'zan kalitni yuboradi, lekin qurilma ruxsatini hech qachon yubormaydi. Eski telefonni o'chirishdan oldin aslida nima o'tishini tekshiring.
Android'dan VPN profilini eksport qilish zaxira nusxalash qadamiga o'xshaydi va buni taklif qiluvchi menyu bu taassurotni tuzatish uchun hech narsa qilmaydi. Sizda qoladigan narsa parser kiritmasi, operatsion tizim hech qachon qaytarmasligi mumkin bo'lgan kalit va aynan shu telefonga berilgan ruxsatdir. Bu uchtasini ajrating va foydali savol paydo bo'ladi: yangi qurilmada hali qaysi qism yo'q?
Fayl oson qism. Qolgan ikkitasi ko'chirish ishlashini hal qiladi.
Eksport qilingan profilda aslida nima bor
Ishonishdan oldin faylni matn muharririda oching. OpenVPN profili kichik konfiguratsiya tilidir: remote, proto, data-ciphers va ko'pincha mijoz o'zining TLS stekiga beradigan ichki <ca>, <cert>, <key> yoki <tls-crypt> bloklari. WireGuard konfiguratsiyasi yassiroq: [Interface] ichida PrivateKey va Address bor, so'ngra har bir oxirgi nuqta uchun PublicKey, AllowedIPs va Endpoint tashuvchi bitta [Peer] keladi. IKEv2 esa kalit bloklari o'rniga yuk lug'atlari bilan .mobileconfig sifatida keladi.
Bu matnlarning hech biri o'z-o'zidan hisob ma'lumoti emas. Hisob ma'lumoti maxfiy kalitdir va har bir format uni ichiga yopishtiradi yoki uni yaratgan mijozning ichidagina hal qilinadigan taxallusga ishora qiladi.
Kalit Android'da aslida qayerda yashaydi
Android ilova ma'lumotlarini /data/data/<package> ostida saqlaydi, uni faqat shu ilovaning UID o'qiy oladi. Root qilinmagan telefondan boshqa ilovaning maxfiy katalogini ko'chirishning qo'llab-quvvatlanadigan usuli yo'q va adb backup Android 12 uni bekor qilganidan va mijozlar allowBackup="false" deb e'lon qila boshlaganidan keyin umumiy javob bo'lishdan to'xtadi. Shuning uchun Android mijozidan eksport o'sha mijoz amalga oshiradigan narsani anglatadi, fayl tizimining nusxasini emas.
Identifikatsiya qatlami ilova ostida. Agar mijoz kalitingizni Android Keystore'ga import qilgan bo'lsa, material o'sha yerda yaratiladi yoki o'raladi va keyingi eksportlar baytlar o'rniga Keystore taxallusiga havola olib yurishi mumkin. Apparat bilan himoyalangan kalitlarni hatto egasi bo'lgan ilova ham o'qiy olmaydigan qilib yaratilgan, buni Keystore documentation tavsiflaydi, shuning uchun o'sha taxallusga ishora qiluvchi profil ayni telefonda toza import qilinadi va boshqa hamma joyda muvaffaqiyatsiz bo'ladi.
Bu buzilgan eksport emas. Bu platformadan so'ralgan xususiyat.
Profil nimalarni olib o'ta olmaydi
Obyektlarni manzil qabul qiladigan narsa bilan solishtiring:
| Obyekt | O'tadimi? | Nega |
|---|---|---|
| Protokol va oxirgi nuqta | Ha, agar manzil mijozi buni qo'llab-quvvatlasa | Profildagi oddiy matn |
| CA sertifikati va xost nomini tekshirish | Odatda | Ommaviy material, lekin xost nomi baribir sertifikatga mos kelishi kerak |
| Mijoz sertifikati | Ha, agar u har bir qurilmaga bog'lanmagan bo'lsa | Sertifikatlar ko'chiriladi; bittasini qancha qurilma ishlata olishini chiqaruvchi hal qiladi |
| Maxfiy kalit | Faqat Keystore'dan tashqarida yaratilgan bo'lsa | Apparat bilan himoyalangan kalitlarni eksport qilib bo'lmaydi, faqat almashtirish mumkin |
| Hisob, MFA, SSO sessiyasi | Yo'q | Tokenlar muddati tugaydi va ularni olgan qurilmaga bog'langan holda qoladi |
| Marshrutlar, DNS va ilova qamrovi | Faqat konfiguratsiya matni sifatida | Android ularni ulanish paytida VpnService.Builder orqali qo'llaydi |
| Bo'lingan tunnel ilovalari ro'yxati | Kamdan-kam | Paket nomlari qurilmalar orasida farq qiladi va ro'yxat mijoz holatidir |
Ikki qator chalkashlikning ko'pini keltirib chiqaradi. Qurilmada yaratilgan va eksport qilib bo'lmaydigan deb belgilangan kalit haqiqatan ham ilova ma'lumotlari bilan yo'qoladi, shuning uchun almashtirish yangi kalit va unga chiqarilgan sertifikatdir. Yangi telefonga ko'chirilgan sessiya tokeni odatda birinchi yangilanishda o'ladi, bu muvaffaqiyatsiz import sifatida o'qiladi.
Import tahlil, so'ngra rozilik so'rovi
Qabul qiluvchi tomonda import tahlil, undan keyin yozuv. Mijoz konfiguratsiyani o'qiydi, har bir havola qilingan blok borligini tekshiradi, so'ngra tunnel ta'rifini o'z sandbox'iga yozadi, shuning uchun Yuklamalardan tanlagan fayl keyin ulanadigan narsa emas.
Keyin hech bir fayl o'tkazib yubora olmaydigan ruxsat bosqichi keladi. Tunnel o'rnatishdan oldin Android ilova VpnService.prepare() ni chaqirishini va sizning roziligingizni olishini talab qiladi, shuning uchun yangi import qilingan profil ham bir marta tizim dialogini ko'rsatadi. So'ngra tunnel aniq addAddress, addRoute, addDnsServer va har bir ilova bo'yicha marshrutlash uchun addAllowedApplication yoki addDisallowedApplication orqali quriladi. Ularning hech biri oxirgi nuqtadan kelib chiqmaydi, shuning uchun bir xil profil ikki mijozda turlicha amaldagi marshrutlar to'plamini berishi mumkin.
Sertifikatga asoslangan sozlamalar yana bir shoxcha qo'shadi. Server ma'lum bir qurilmaga sertifikat chiqarganda, MDM va SCEP ro'yxatga olish qilganidek, uni ikkinchi telefonda qayta ishlatish server har bir shaxs uchun bitta sessiyani talab qilgunga qadar ishlaydi yoki TLS qo'l berishda muvaffaqiyatsiz bo'ladi. Qayta ishlatishni rejalashtirishdan oldin chiqaruvchi siyosatini tekshiring.
Eskisini iste'foga chiqarishdan oldin yangi qurilmani tekshiring
Yangi telefon yashil belgidan yaxshiroq narsani o'tmaguncha eski telefonni ulangan holda saqlang. Yangi qurilmadan chiqish manzilini va u haqiqatan ishlatgan DNS hal qiluvchisini tasdiqlang. Agar split tunneling muhim bo'lsa, tunnelni chetlab o'tishi kerak bo'lgan ilovani va o'tmasligi kerak bo'lganini ishga tushiring, so'ng qaysi biri provayderingizga yetib borishini ko'ring.
Bitta tekshiruv chiqish manzilini hal qiladi. Telefon brauzerida https://ifconfig.me ni oching, so'ngra xuddi shu Wi-Fi'dagi noutbukdan curl -s https://ifconfig.me ni ishga tushiring va ikkala javobni provayderingiz bergan manzil bilan solishtiring.
Shundan keyingina eski identifikatsiyani iste'foga chiqaring va buni chiqaruvchi orqali qiling: sertifikatni bekor qiling yoki qurilmani hisobdan olib tashlang. Yuklamalardan fayl o'chirish hech narsani tugatmaydi, chunki bir xil sertifikatga ega ikki qurilma server jurnalida bir xil ko'rinadi.
Agar eksport ko'chirilmaydigan bo'lib chiqsa, yechim ommaviy konfiguratsiya to'plami emas, yangi ro'yxatga olishdir. Ikkinchi qurilma uchun profil so'rang yoki yangi telefonda kalit juftini yaratib, CSR topshiring; sekinroq, va bu chiqaruvchi qo'llab-quvvatlaydigan yo'l.
Biror narsani o'chirishdan oldin tekshiruv ro'yxatini o'tkazing: yangi qurilma ulanadi, chiqish manzili va DNS mos keladi, har bir ilova qamrovi o'ylaganingizdek, eski identifikatsiya bekor qilingan va saqlangan har qanday konfiguratsiya fayli shifrlangan xotirada.