Pi VPN server: počnite od aplikacije na telefonu, a ne od recepta

Većina Pi VPN instalacija počinje receptom za server i završava telefonom koji se ne može povezati. Redoslijed je obrnut. Klijent na telefonu implementira određeni protokol s određenom autentifikacijskom razmjenom, a server se mora prilagoditi toj razmjeni, a ne obrnuto. Ako prvo odaberete aplikaciju, cijelo poslijepodne otklanjanja grešaka pretvara se u kratku kontrolnu listu.

Redoslijed koji spašava ponovnu izgradnju

Zapišite operativni sistem telefona i tačnu VPN aplikaciju prije nego što bilo šta instalirate na Pi. Taj par određuje koji je protokol uopće moguć. Klijentska aplikacija ne postaje drugi klijent samo zato što profil slučajno sadrži poznato polje.

Zajednička tajna u profilu ili poznat broj porta ne pretvara jedan protokol u drugi. Razmjena ili odgovara onome što aplikacija implementira, ili pada u fazi koja vam daje vrlo malo za čitanje. Ne postoji dijagnostika koja običnim riječima kaže "pogrešan protokol". Dobijate istek vremena, grešku certifikata ili tihu petlju ponovnog pokušaja, a sve to izgleda kao problem sa serverom.

Kada je aplikacija fiksirana, izbor servera se sužava i ostatak instalacije ima cilj.

Šta aplikacija na telefonu zapravo implementira

Objavljeni popis klijenata opisuje aplikaciju, a ne uslugu. Aplikacija OpenVPN Connect za Android očekuje OpenVPN server; ona ne pruža serversku stranu. Također ne postaje IPsec ili L2TP klijent kada profil izgleda slično.

Ta razlika je najvažnija kada slijedite stariji vodič. Recepti napisani za protokol koji je trenutna aplikacija napustila i dalje će se čisto instalirati na Pi i i dalje neće raditi na telefonu, što izgleda kao greška u konfiguraciji, a ne kao neusklađenost protokola.

Provjerite trenutnu dokumentaciju aplikacije za formate profila koje uvozi prije nego što se obvežete na serverski paket. Pet minuta čitanja bolje je od ponovne izgradnje.

Četverodijelni sporazum

Zapišite četiri stvari i držite ih zajedno: operativni sistem telefona i verziju aplikacije, implementaciju servera na Pi, politiku autentifikacije i povjerenja te vanjsku krajnju točku. Svaka od četiri može poništiti ostale tri.

Nadogradnja aplikacije, promjena serverskog paketa ili novo tijelo za izdavanje certifikata ruše sporazum, a neuspjeh s telefona svaki put izgleda isto. Upravo zapisane četiri stavke omogućuju vam da utvrdite koji se dio pomaknuo.

Vjerodajnice imaju odvojene zadatke

Odlučite koristi li profil klijentske certifikate, korisničko ime i lozinku ili podržanu kombinaciju, i uskladite oba kraja. Identitet servera i materijal pouzdanog CA također moraju odgovarati onome što će klijent prihvatiti.

Javni certifikat CA i njegov privatni ključ za potpisivanje različiti su objekti. U profil telefona pripada samo javni dio. Ako ključ za potpisivanje stavite na telefon, dajete mogućnost stvaranja identiteta, što je suprotno svrsi CA. Tretirajte tu datoteku kao najosjetljiviji objekt u cijeloj instalaciji.

Koristite podržani tok izvoza i uvoza usluge umjesto ručnog sastavljanja profila. Ručno izgrađeni profili obično nose direktive samo za stolna računala koje mobilna aplikacija ignorira ili odbija.

Iznad svega, ne zamjenjujte provjeru certifikata opcijom "prihvati bilo koji server" da biste stari primjer povezali. To pretvara problem kompatibilnosti u zaobilaženje autentifikacije i obično preživi do produkcije jer funkcionira.

Dostupnost je odvojen ugovor

Telefon mora doći do vanjske krajnje točke servera kroz stvarni raspored uzvodno. Prijevod na kućnom ruteru, filtriranje i NAT operatera sve stoje između njih. Dinamičko DNS ime krajnjoj točki daje samo stabilno ime; ono ne stvara ulazni put.

Zatim odredite što klijent smije dosegnuti nakon povezivanja: privatne prefikse ili puni izlaz na internet, njihove putanje prosljeđivanja i odgovora, ponašanje DNS-a i je li IPv6 u obuhvatu. Uspješna prijava ne dokazuje ništa od toga.

Prihvatite namijenjeni telefon i profil izravno, uključujući provjeru da neovlašteni resurs ostaje nedostupan i da opoziv stvarno uklanja pristup. Uspjeh sa stolnim klijentom potvrđuje taj stolni klijent, a ne telefon u vašoj ruci. Popis OpenVPN Connect konkretan je primjer klijentske aplikacije koja očekuje odgovarajuću uslugu.