Gweinydd VPN ar y Pi: dechreuwch gyda'r ap ffôn, nid y rysáit

Mae'r rhan fwyaf o adeiladau VPN ar y Pi yn dechrau gyda rysáit y gweinydd ac yn gorffen gyda ffôn na all gysylltu. Mae'r drefn wyneb i waered. Mae cleient y ffôn yn gweithredu protocol penodol gyda chyfnewidfa dilysu benodol, ac mae'n rhaid i'r gweinydd gyd-fynd â'r gyfnewidfa honno, nid y ffordd arall. Mae penderfynu ar yr ap yn gyntaf yn troi prynhawn o ddadfygio yn rhestr wirio fer.

Y drefn sy'n arbed yr ailadeiladu

Cofnodwch system weithredu'r ffôn a'r ap VPN union cyn gosod unrhyw beth ar y Pi. Mae'r pâr hwnnw'n pennu pa brotocol sy'n bosibl o gwbl. Nid yw ap cleient yn dod yn gleient gwahanol dim ond am fod proffil yn digwydd cynnwys maes cyfarwydd.

Nid yw cyfrinach a rennir mewn proffil, na rhif porth sy'n edrych yn gyfarwydd, yn troi un protocol yn un arall. Naill ai mae'r gyfnewidfa'n cyfateb i'r hyn y mae'r ap yn ei weithredu, neu mae'n methu ar gam sy'n rhoi ychydig iawn i chi ei ddarllen. Nid oes diagnosis sy'n dweud "protocol anghywir" mewn geiriau plaen. Byddwch yn cael goramser, gwall tystysgrif neu ddolen ailgeisio dawel, ac mae'r rhain i gyd yn edrych fel problem gweinydd.

Unwaith y bydd yr ap wedi'i sefydlogi, mae dewis y gweinydd yn culhau ac mae gan weddill yr adeilad darged.

Beth mae ap y ffôn yn ei weithredu mewn gwirionedd

Mae rhestr cleientiaid gyhoeddedig yn disgrifio ap, nid gwasanaeth. Mae ap OpenVPN Connect ar gyfer Android yn disgwyl gweinydd OpenVPN; nid yw'n darparu'r ochr weinydd. Nid yw chwaith yn dod yn gleient IPsec nac L2TP pan fo proffil yn edrych yn debyg.

Mae'r gwahaniaeth hwnnw'n bwysicaf wrth ddilyn canllaw hŷn. Bydd rysetitau a ysgrifennwyd ar gyfer protocol y mae'r ap presennol wedi'i ollwng yn dal i osod yn lân ar y Pi ac yn dal i fethu ar y ffôn, sy'n darllen fel gwall cyfluniad yn hytrach nag anghysondeb protocol.

Edrychwch ar ddogfennaeth bresennol yr ap ar gyfer y fformatau proffil y mae'n eu mewnforio cyn ymrwymo i becyn gweinydd. Mae pum munud o ddarllen yn well na ailadeiladu.

Y cytundeb pedair rhan

Cofnodwch bedair peth a'u cadw gyda'i gilydd: system weithredu'r ffôn a rhyddhad yr ap, gweithrediad y gweinydd ar y Pi, y polisi dilysu ac ymddiriedaeth, a'r pwynt terfyn allanol. Gall pob un o'r pedair ddirymu'r tair arall.

Mae uwchraddiad ap, newid i becyn gweinydd neu awdurdod tystysgrif newydd i gyd yn torri'r cytundeb, ac mae'r methiant yn edrych yn union yr un fath o'r ffôn bob tro. Cofnodi'r pedair yw'r peth sy'n gadael i chi nodi pa ran a symudodd.

Mae gan gymwysterau swyddi ar wahân

Penderfynwch a yw'r proffil yn defnyddio tystysgrifau cleient, enw defnyddiwr a chyfrinair, neu gyfuniad a gefnogir, a gwnewch i'r ddau ben gytuno. Rhaid i hunaniaeth y gweinydd a deunydd y CA a ymddiriedir hefyd gyd-fynd â'r hyn y bydd'r cleient yn ei dderbyn.

Mae tystysgrif gyhoeddus y CA a'i allwedd breifat lofnodi yn wrthrychau gwahanol. Dim ond y rhan gyhoeddus sy'n perthyn i broffil ffôn. Mae rhoi'r allwedd lofnodi ar ffôn yn rhoi'r gallu i greu hunaniaethau, sef y gwrthwyneb i'r hyn y mae CA ar ei gyfer. Triniwch y ffeil honno fel y gwrthrych mwyaf sensitif yn yr adeilad cyfan.

Defnyddiwch lif allforio a mewnforio a gefnogir gan y gwasanaeth yn hytrach na chydosod proffil â llaw. Mae proffiliau a adeiladwyd â llaw fel arfer yn cario cyfarwyddiadau pen-desg yn unig y mae'r ap symudol yn eu hanwybyddu neu'n eu gwrthod.

Yn anad dim, peidiwch â disodli dilysu tystysgrif gyda "derbyn unrhyw weinydd" er mwyn gwneud i enghraifft hen ffasiwn gysylltu. Mae hynny'n troi problem gydnawsedd yn osgoi dilysu, ac mae fel arfer yn goroesi i gynhyrchu oherwydd ei fod yn gweithio.

Mae cyrhaeddiad yn gontract ar wahân

Rhaid i'r ffôn gyrraedd pwynt terfyn allanol y gweinydd trwy'r drefniant uwch-lif go iawn. Mae cyfieithiad llwybrydd y cartref, hidlo a NAT y cludwr i gyd yn gorwedd rhwng y ddau. Dim ond enw sefydlog i'r pwynt terfyn y mae enw DNS deinamig yn ei roi; nid yw'n creu llwybr i mewn.

Yna diffiniwch beth y caiff y cleient ei gyrraedd ar ôl cysylltu: rhagddodiadau preifat neu allanfa ryngrwyd gyflawn, eu llwybrau anfon ac ateb, ymddygiad DNS, ac a yw IPv6 yn y cwmpas. Nid yw mewngofnodi llwyddiannus yn profi dim o'r rheini.

Derbyniwch y ffôn a'r proffil a fwriedir yn uniongyrchol, gan gynnwys gwiriad bod adnodd anawdurdodedig yn parhau'n anghyraeddadwy a bod dirymu yn wir yn tynnu mynediad. Mae llwyddiant gyda chleient pen-desg yn dilysu'r cleient pen-desg hwnnw, nid y ffôn yn eich llaw. Rhestr OpenVPN Connect yw enghraifft bendant o ap cleient sy'n disgwyl gwasanaeth cyfatebol.