Pi VPN-server: alusta telefoni rakendusest, mitte retseptist

Enamik Pi VPN-i ehitusi algab serveri retseptiga ja lõpeb telefoniga, mis ei suuda ühenduda. Järjekord on vastupidine. Telefoni klient rakendab kindlat protokolli kindla autentimisvahetusega ja server peab vastama just sellele vahetusele, mitte vastupidi. Kui otsustad esmalt rakenduse, muutub terve pärastlõuna silumist lühikeseks kontrollnimekirjaks.

Järjekord, mis säästab ülesehitamise

Kirjuta üles telefoni operatsioonisüsteem ja täpne VPN-rakendus enne, kui Pi-le midagi paigaldad. See paar määrab, milline protokoll üldse võimalik on. Kliendi rakendus ei muutu teiseks kliendiks sellepärast, et profiil juhtub sisaldama tuttavat välja.

Profiilis olev ühine saladus või tuttavana tunduv pordi number ei muuda üht protokolli teiseks. Vahetus kas vastab sellele, mida rakendus rakendab, või ebaõnnestub etapis, mis jätab sulle väga vähe lugeda. Pole olemas diagnostikat, mis ütleks lihtsate sõnadega "vale protokoll". Saad ajalõpu, sertifikaadivea või vaikse korduskatse tsükli ja kõik need näevad välja nagu serveri probleem.

Kui rakendus on fikseeritud, kitseneb serveri valik ja ülejäänud ehitusel on siht.

Mida telefoni rakendus tegelikult rakendab

Avaldatud klientide nimekiri kirjeldab rakendust, mitte teenust. Androidi rakendus OpenVPN Connect ootab OpenVPN-serverit; see ei paku serveripoolt. Samuti ei muutu see IPsec- või L2TP-kliendiks, kui profiil näeb sarnane välja.

See erinevus loeb kõige rohkem vanema juhendi järgimisel. Protokolli jaoks kirjutatud retseptid, mille praegune rakendus on maha jätnud, paigaldatakse endiselt puhtalt Pi-le ja need ebaõnnestuvad endiselt telefonis, mis loeb konfiguratsiooniveana, mitte protokolli mittevastavusena.

Kontrolli rakenduse praegusest dokumentatsioonist, milliseid profiilivorminguid see impordib, enne kui kohustud serveripaketiga. Viis minutit lugemist on parem kui ülesehitamine.

Neljaosaline kokkulepe

Kirjuta üles neli asja ja hoia neid koos: telefoni operatsioonisüsteem ja rakenduse versioon, serveri rakendus Pi-l, autentimis- ja usalduspoliitika ning väline lõpp-punkt. Igaüks neist neljast võib muuta kehtetuks ülejäänud kolm.

Rakenduse uuendus, serveripaketi vahetus või uus sertifitseerimisasutus lõhuvad kokkuleppe ja tõrge näeb telefonist iga kord ühesugune välja. Just üleskirjutatud neli võimaldavad tuvastada, milline osa liikus.

Mandaatidel on eraldi tööd

Otsusta, kas profiil kasutab kliendi sertifikaate, kasutajanime ja parooli või toetatud kombinatsiooni, ja vii mõlemad otsad kokku. Serveri identiteet ja usaldatud CA materjal peavad samuti vastama sellele, mida klient aktsepteerib.

CA avalik sertifikaat ja selle allkirjastamise privaatvõti on erinevad objektid. Telefoni profiili kuulub ainult avalik osa. Kui paned allkirjastamisvõtme telefoni, annad ära võime luua identiteete, mis on vastupidine sellele, milleks CA mõeldud on. Käsitle seda faili kogu ehituse kõige tundlikuma objektina.

Kasuta teenuse toetatud ekspordi- ja impordivoogu selle asemel, et profiili käsitsi kokku panna. Käsitsi ehitatud profiilid kannavad tavaliselt ainult töölaua direktiive, mida mobiilirakendus eirab või tagasi lükkab.

Eelkõige ära asenda sertifikaadi valideerimist valikuga "võta vastu ükskõik milline server", et vana näide ühenduks. See muudab ühilduvusprobleemi autentimise möödaminekuks ja jääb tavaliselt tootmisse, sest see töötab.

Kättesaadavus on eraldi leping

Telefon peab jõudma serveri välise lõpp-punktini läbi tegeliku ülesvoolu lahenduse. Koduse ruuteri tõlge, filtreerimine ja operaatori NAT asuvad kõik nende vahel. Dünaamiline DNS-nimi annab lõpp-punktile ainult stabiilse nime; see ei loo sissetulevat teed.

Seejärel määra, mida klient pärast ühendamist saavutada tohib: privaatsed prefiksid või täielik internetiväljund, nende edastus- ja vastusteekonnad, DNS-i käitumine ja kas IPv6 on ulatuses. Edukas sisselogimine ei tõesta neist ühtegi.

Võta kavandatud telefon ja profiil vastu otse, sealhulgas kontroll, et volitamata ressurss jääb kättesaamatuks ja et tühistamine tõesti eemaldab juurdepääsu. Edu töölauakliendiga tõestab seda töölauaklienti, mitte sinu käes olevat telefoni. OpenVPN Connecti loend on konkreetne näide kliendirakendusest, mis ootab vastavat teenust.