处理内网访问时esayconnect等客户端未适配arm版windows问题

61

背景

  1. 现在很多资源都需要堡垒机
  2. 堡垒机需要vp...n才能访问
  3. 各种客户端都会安装时创建虚拟网卡，但是由于他们版本落后没有适配arm，全部创建失败。
  4. 很多客户端都兼容openvp...n的虚拟网卡，甚至可能是基于它开发的，哈哈。然后他们启动时会检测自家的虚拟网卡是否存在于系统中。
  5. 测试机器是macbook pro m1, macOS sonoma 14.6.1，在pd中虚拟化windows arm 11 22H2.

适用场景

  1. 有些安全厂商ssl vp...n客户端arm windows适配不及时
  2. 不想装一大堆这种软件到mac上

解决方案

  1. 通过一台x86的Windows成功安装（或者找同事安装好的看看就行了）
  2. 检查能够成功安装虚拟网卡的注册表enum 计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ROOT\NET里查看对应的虚拟网卡DeviceDescription、Provider
  3. 检查驱动程序的名称，在设备管理器，网路适配器里查看，然后在文件夹里找对应驱动，可能是 C:\Windows\System32\tabxxxxx.sys
  4. 从 https://github.com/OpenVP...N/tap-windows6这个项目下载arm版的驱动
  5. 修改INF文件中DeviceDescription、Provider、驱动名称（替换为该厂家的xxxxx）
  6. 修改 tap0901.sys 和 tap0901.cat为对应的 tapxxxxx.sys和 tapxxxxx.cat
  7. 通过命令 .\devcon.exe install .\OemVista.inf tap_xxxxx生成伪装的虚拟网卡
  8. 删除cat文件，因为数字签名cat文件保护了inf和sys两个文件，修改文件会无法安装，可以删除cat文件或者自己去签名，然后按住 SHIFT点重新启动windows，高级启动，禁用驱动安装需要检查数字签名。
  9. 安装成功后再去启动客户端，发现欺骗通过，正常访问内网资源。

此方案已通过验证的客户端

  1. 安恒：tgfw-secNode-installer.exe

  2. 深信服：ESAY CONNECT（Sangfor）

    • 官方版下载安装后只兼容windows10 arm版，windows 11安装后反复安装组件不成功，登录后无法拨号访问内网。
    • 经过这波操作，虽然每次软件登录，还是要反复安装组件（会在安装目录反复生成一些文件夹，记得清理），但是拨号能成功。直接兼容windows11 arm版，不影响使用，岂不是美滋滋？

  3. 启明星辰：天清汉马

待测试

  1. iNode，懒得测等有空
  2. motionPro，暂时懒得测
  3. 奇安信：我估计可以，但是我没测。

iNode和motionPro懒得测因为是我常用的，要装到mac本体，不放到虚拟机中，所以懒得测了arm windows是否可行。