Administrator huquqlarisiz portativ VPN mijozi: hali ham nima buziladi

Portativ o'rnatuvchini tasvirlaydi, yadroni emas. Mijoz USB xotirasida bitta bajariladigan fayl sifatida kelishi va birinchi paket harakatlanishidan oldin baribir tunnel qurilmasi, marshrutlar jadvalidagi yozuv va hal qiluvchiga yozishni talab qilishi mumkin. Bu uchtasidan qaysi biriga maqsadli mashina tegishga ruxsat berishi o'sha qurilmaning u yerda umuman ishlashini belgilaydi. Quyidagi tekshiruvlar savolga mijoz uchratadigan tartibda javob beradi.

Portativlik uch xil va'dani qamrab oladi, faqat bittasi bepul

O'rnatuvchi yo'qligi yetkazib beruvchi xizmatni ro'yxatdan o'tkazmaganini, o'chiruvchi yubormaganini va menyu yozuvini qo'shmaganini bildiradi. Administrator yo'qligi oddiy hisob mijozni ishga tushirib, ulanishni yakunlashi mumkinligini bildiradi. Xost o'zgarmasligi chiqqaningizdan keyin mashina bir xil ko'rinishini bildiradi. Portativ deb yozadigan yuklab olish sahifalari odatda faqat birinchisini va'da qiladi, qolgan ikkitasi esa joylashtirishlar muvaffaqiyatsiz bo'ladigan joy. Qurilma tor ma'noda ham portativ bo'lishi mumkin: u faqat o'qish uchun mo'ljallangan muhitdan hech qanday nuqtali fayl yozuvisiz ishlaydi, bu esa tarmoq steki haqida hali hech narsa demaydi.

Qimmat va'dalar ikkinchi va uchinchisidir. Adapter, marshrut yoki hal qiluvchiga yozishni talab qiladigan bitta bajariladigan fayl operatsion tizimdan portativ yorlig'i hech qachon qamramagan vakolatni so'raydi.

Mijoz chaqiradigan imtiyozli yordamchini toping

Deyarli hech qanday VPN mijozi paketlarni o'zi harakatlantirmaydi. Windows'da ma'lumot yo'li WFP filtrlari va Base Filtering Engine orqali, macOS'da foydalanuvchi Tizim sozlamalarida tasdiqlaydigan NetworkExtension provayderi orqali, Linux'da esa tun qurilmasi va marshrutlash steki orqali o'tadi. Ko'chirgan binar faylingiz o'sha komponentlar uchun boshqaruv yuzasi, ularning o'rnini bosuvchisi emas. Mijoz qaysi komponentni kutayotganini so'rang, so'ng uning o'rnatilganini, ishlayotganini va hisobingiz foydalana olishini tasdiqlang.

Bu fikrni isbotlash uchun Linux eng oson joy, chunki tekshiruv bitta tizim chaqiruvi. /dev/net/tun ni ochish va yadrodan qurilma so'rash CAP_NET_ADMIN ni talab qiladi, va yadroning TUN/TAP hujjati egalik qoidasini ham, qobiliyatni ham ko'rsatadi. Tekshiruvni mijozni ishga tushiruvchi hisob bilan bajaring, root sifatida emas.

ls -l /dev/net/tun
ip tuntap add dev vpntest mode tun
ip link delete vpntest

O'rta satrdagi ruxsat xatosi siz izlagan javob: bu hisob tunnel interfeysini yarata olmaydi, shuning uchun unga muhtoj har qanday foydalanuvchi maydoni mijozi yuklab olishda emas, ulanishda muvaffaqiyatsiz bo'ladi. Oxirgi satr sinov qurilmasini olib tashlaydi va u ishlaganda hech narsa chiqarmaydi. Ikkala satr ham muvaffaqiyatli bo'lsa, xost doimiy hech narsani o'zgartirmadi.

Birinchi ulanishdan oldin marshrut va hal qiluvchi o'zgarishlarini sinab ko'ring

Bo'lingan tunnel ulanishni marshrutlash qaroriga aylantiradi, to'liq tunnel esa uni standart marshrutni almashtirishga aylantiradi. Ikkalasi ham xostning tarmoq stekiga yozuv, va ikkalasi ham imtiyozsiz hisob uchun muvaffaqiyatsiz bo'ladi, hatto mijozning o'zi toza ishga tushsa ham. Hal qiluvchi uchinchi yozuv, va systemd xostlarida odatda eng oxirida buziladigan o'sha. Bu tartib yuqori imtiyozli o'rnatishni qaerga sarflashni hal qilganda muhim.

Marshrut sinovi sizga haqiqatan muhim bo'lgan manzilni talab qiladi, shuning uchun quyidagi joy egallovchini o'z profilingizdan subnet bilan almashtiring. Marshrut biror narsaga yopishishi uchun qurilma nomi mavjud bo'lishi kerak.

ip route add 10.20.0.0/16 dev vpntest
ip route del 10.20.0.0/16
resolvectl query intranet.example.internal

Agar birinchi satr RTNETLINK answers: Operation not permitted qaytarsa, hisob profil talab qiladigan xususiy marshrutni o'rnata olmaydi. Ikkinchi satr xuddi shu huquqni teskari isbotlaydi, bu muhim, chunki marshrutlarni qo'sha oladigan, lekin olib tashlay olmaydigan mijoz orqada buzilgan jadval qoldiradi. So'ng hal qiluvchi so'rovi xususiy nomlar tunnel orqali hal bo'ladimi yoki xost allaqachon ishonadigan hal qiluvchiga oqib ketadimi ko'rsatadi.

Sinov qurilmasi hali mavjud bo'lganda uchtasini ham bajaring, so'ng uni o'chiring. Yo'qolgan qurilmaga ishora qiluvchi marshrut muvaffaqiyatsiz ulanishdan keyin noutbuk aloqani yo'qotishining eng keng tarqalgan sababi.

Sessiyadan nima omon qolishi kerakligini hal qiling

Jildni o'chirish tozalash rejasi emas. Adapterlar, marshrutlar, hal qiluvchi sozlamalari, ishonchli sertifikatlar va saqlangan hisob ma'lumotlari har biri jarayondan uzoq yashashi mumkin, va yuklanish vaqtidagi xizmat ularning ba'zilarini so'ramasdan tiklay oladi. Mijoz nima qoldirishga ruxsat etilganini uni ishga tushirishdan oldin yozib qo'ying, birinchi muvaffaqiyatsiz uzilishdan keyin emas.

Amaliy qoida o'zgartirmoqchi bo'lgan uchta yuzaning suratini olib, keyin ularni solishtirish. Birinchi ulanishdan oldin interfeyslarni, asosiy marshrutlash jadvalini va hal qiluvchi holatini yozib oling, so'ng mijoz chiqqandan keyin o'sha uchta o'qishni takrorlang.

ip -brief addr show
ip route show table main
resolvectl status

Ikkinchi tutishda bor va birinchisida yo'q har qanday narsa egasiga muhtoj. Yoki mijoz chiqishda uni olib tashlaydi, yoki siz uni yaratgan o'sha buyruqlar bilan olib tashlaysiz, va bu olib tashlash joylashtirish eslatmalariga tegishli, birovning nima bo'lgani haqidagi xotirasiga emas. Windows'da ekvivalent o'qishlar Get-NetAdapter, Get-NetRoute va Get-DnsClientServerAddress, ular yuqori imtiyoz talab qilmaydi, lekin o'sha qoldiqlarni ko'rsatadi.