OpenVPN ar Android: ychwanegu llwybr preifat heb reiddio'r ffôn
Ychwanegwch un llwybr y tu mewn i'r proffil y mae Android yn ei lwytho mewn gwirionedd, yna gwiriwch fod y gweinydd yn caniatáu hynny. Llawlyfr ar gyfer y golygu, yr ailgysylltu a phedwar gwiriad.
Mae arnoch angen un is-rwydwaith preifat arall — dyweder 10.60.0.0/24 — nad yw'r proffil yn ei chynnwys ar hyn o bryd. Ar liniadur byddech yn ychwanegu llwybr a mynd ymlaen. Ar Android mae'r VPN yn ap, mae'r ddyfais tun yn perthyn i'r ap hwnnw, ac nid oes tabl llwybro i chi ei olygu heb root. Mae'n rhaid i'r llwybr fodoli o hyd, ond mae'n mynd i'r proffil y mae'r cleient yn ei lwytho, ac nid yw'n gweithio oni bai bod yr ochr arall yn cytuno. Dyma'r golygu, yr ailgysylltu, yr ochr weinydd, a'r adferiad.
Cyn y golygu: beth all llwybr ei wneud a beth na all
Mae llwybr yn ateb un cwestiwn: pa ryngwyneb sy'n mynd â thraffig i'r gyrchfan hon. Nid yw'n awdurdodi unrhyw beth. Os nad yw perchennog y rhwydwaith wedi cytuno y gall y ffôn hon gyrraedd yr is-rwydwaith honno, mae llwybr cywir yn cynhyrchu ffurfweddiad sy'n edrych yn gywir ac yn cael ei ollwng yn dawel yn y porth, a byddwch yn treulio'r awr nesaf yn golygu'r ffeil anghywir.
Cewch y cytundeb hwnnw'n gyntaf, yn ysgrifenedig os oes perchennog i'r rhwydwaith. Yna nodwch beth nad ydych yn ei wneud: nid ydych yn rhoi cyfeiriad i'r ffôn y tu mewn i'r LAN honno, nid ydych yn newid gwrandäwr y gweinydd, ac nid ydych yn dewis safle yn ôl enw gwesteiwr. Mae'r rhain yn bedwar newid gwahanol a dim ond y cyntaf sy'n eiddo i chi.
| The route gives you | The route does not give you |
|---|---|
| A destination prefix associated with the tunnel | Permission to forward at the gateway |
| A path for the phone's own traffic | A return route on the target host |
| A scope for the client's virtual interface | A name in DNS, or HTTPS identity |
Golygwch y proffil y mae'r cleient yn ei lwytho mewn gwirionedd
Ar gyfer cleient cydnaws sy'n mewnforio testun opsiwn OpenVPN cyffredin, un llinell yw'r ychwanegiad:
route 10.60.0.0 255.255.255.0Ychwanegwch ef at gorff y proffil, ger y cyfarwyddiadau llwybro eraill, gan gadw endpoint, tystysgrifau, trin allweddi a llinellau dilysu'r gweithredwr yn union fel yr oeddent. Peidiwch â gludo hen enghraifft gyfan i fenthyg un llinell: mae cywasgu, llwybrau ffeil absoliwt a gosodiadau cipher hen ffasiwn yn teithio gyda hi a byddant yn costio sesiwn dadfygio ar wahân i chi.
Y cam y mae pobl yn ei golli yw perchnogaeth y ffeil. Os yw'r ap wedi mewnforio proffil, mae'r copi y mae'n ei ddefnyddio yn eiddo i'r ap, ac nid yw golygu'r gwreiddiol a lawrlwythwyd yn newid dim. Defnyddiwch olygydd a gefnogir gan y cleient, neu ailfewnforiwch y ffeil wedi'i golygu drwy'r llwybr diweddaru, a chadarnhewch enw'r proffil gweithredol pan fo sawl enw tebyg. Cofnodwch pa un a newidiasoch.
Os yw'r proffil eisoes yn cario route-nopull, ni osodir unrhyw lwybr o'r gweinydd a rhaid rhestru pob rhagddodiad sydd ei angen ar y ffôn yn benodol. Mae hynny'n ddyluniad dilys, ond mae'n golygu bod llinell sydd ar goll yn edrych yn union fel gwrthodiad gan y gweinydd.
Ailgysylltwch a gwirio ar y ddyfais
Datgysylltwch yn gyntaf, yna ailgysylltwch y proffil penodol a olygasoch yn hytrach na gadael i'r ap adfer y sesiwn ddiwethaf. Agorwch y lòg cysylltu a chadarnhewch fod y cleient wedi dosrannu'r llinell newydd; mae cyfarwyddiad llwybro y mae'r blaenlen yn ei anwybyddu yn ganlyniad cyffredin i olygu'r copi anghywir.
Profwch y gyrchfan yn ôl cyfeiriad, nid yn ôl enw. Mae gwiriad TCP i un porth gwasanaeth hysbys yn fwy addysgiadol na phing, oherwydd mae digon o westeiwyr yn ateb ICMP tra bo'r porth gwasanaeth wedi'i hidlo. Os yw'r cyfeiriad yn ateb ac nad yw enw yn ateb, cwestiwn datryswr sydd gennych yn hytrach na chwestiwn llwybro, ac nid i chi yw'r adran nesaf.
Mae dau wiriad cwmpas yn perthyn yma hefyd. Mae VPN fesul ap yn golygu y gall llwybr cyfeiriad fod yn bresennol tra bo'r ap yr ydych yn profi ag ef y tu allan i'r set gynwysedig, felly profwch ag ap sydd mewn gwirionedd y tu mewn. Ac nid yw rhagddodiad IPv4 yn dweud dim am y llwybr IPv6; os yw'r gwasanaeth yn ddeu-stac, ychwanegwch y llwybr IPv6 cyfatebol neu disgwyliwch i'r cleient ffafrio llwybr nad oeddech yn bwriadu.
Mae un canlyniad negyddol yn werth ei adnabod yn gynnar: os yw llwybr twnnel llawn eisoes yn cwmpasu 0.0.0.0/0, nid yw'r rhagddodiad ar goll ac nid yw ei ychwanegu eto yn newid dim. Nid yw sylw dyblyg yn trwsio gwadiad ar ochr y gweinydd nac ateb sydd ar goll.
Gorffennwch y llwybr ar y gweinydd
Rhaid i dri pheth fod yn wir y tu hwnt i'r ffôn. Mae ar y porth angen llwybr i'r gyrchfan a chaniatâd i anfon ffynhonnell y ffôn tuag ati. Mae ar y targed angen derbyn y ffynhonnell honno a dychwelyd atebion drwy'r porth, neu mae ar y dyluniad angen cyfieithu bwriadol ar yr egress. Mae opsiwn route llawlyfr OpenVPN yn cwmpasu'r cyfarwyddiad ar ochr y cleient; mae anfon ymlaen a llwybro dychwelyd yn osodiadau ar wahân ar beiriannau ar wahân.
Os yw'r gyrchfan y tu ôl i gleient VPN arall yn hytrach nag yn union y tu ôl i'r porth, mae ar y gweinydd angen iroute ar gyfer is-rwydwaith y cymar hwnnw. Mae'r cyfarwyddiad hwnnw'n eiddo i'r gweinydd ac yn disgrifio pa gleient sy'n berchen ar ragddodiad; ni all ffôn ei ddarparu o'i phroffil ei hun, ac nid yw unrhyw faint o olygu ar ochr y cleient yn cymryd ei le.
Gwiriwch y llwybr dychwelyd yn benodol. Mae ateb sy'n gadael drwy'r llwybr diofyn yn lle'r twnnel yn cynhyrchu'r symptom hanner-agored clasurol: mae'r cysylltiad wedi'i sefydlu i un cyfeiriad ac nid oes dim yn dod yn ôl. Mae cyfieithu ffynhonnell ar y porth yn atgyweiriad dilys pan na all y targed lwybro'n ôl, ond penderfyniad polisi ydyw gyda'i ganlyniadau ei hun.
Adfer a derbyn
Cadwch y proffil blaenorol cyn ei olygu. Os yw'r newid yn gwneud pethau'n waeth, adferwch y copi hwnnw drwy'r un llwybr ailfewnforio, ailgysylltwch, a chadarnhewch fod yr hen ymddygiad yn dychwelyd — mae hynny'n cadarnhau eich bod wedi newid yr hyn yr oeddech yn meddwl oedd wedi newid. Mae adferiad nad yw'n adfer yr hen gyflwr yn golygu bod gan yr ap drydydd copi nad ydych wedi'i ganfod.
Derbyniwch y newid pan fo pedwar peth yn dal, wedi'u profi yn y drefn hon ar ôl ailgysylltu o'r newydd: mae'r gyrchfan yn ateb ar ei phorth gwasanaeth, mae'r enw preifat yn datrys os disgwylir hynny, mae HTTPS yn dal i ddilysu'r enw gwesteiwr a fwriadwyd, ac mae'r cyfan yn dal i weithio ar ôl ailgychwyn neu newid o Wi-Fi i seliwlar. Y gwiriad olaf yw'r un sy'n dal llwybr nad yw'n bodoli ond nes bod Android yn ailsefydlu'r twnnel.
- Cadarnhewch fod perchennog y rhwydwaith yn caniatáu'r gyrchfan cyn golygu unrhyw beth.
- Rhowch y llwybr yn y proffil y mae'r cleient yn ei lwytho, yna ailfewnforiwch ac ailgysylltwch.
- Gwirwch yn ôl porth gwasanaeth, y tu mewn i gwmpas fesul ap, ar gyfer y teulu cyfeiriad cywir.
- Trwsiwch anfon ymlaen, llwybro dychwelyd ac iroute ar y gweinydd, nid ar y ffôn.
- Cadwch gopi adfer, ac ailbrofwch ar ôl ailgychwyn.