Android OpenVPN: bide pribatu bat gehitzea telefonoa rootik gabe

Beste azpi-sare pribatu bat behar duzu — demagun 10.60.0.0/24 — profilean orain ez dagoena. Eramangarrian bide bat gehituko zenuke eta aurrera jarraituko zenuke. Android-en VPN aplikazio bat da, tun gailua aplikazio horrena da, eta ez dago rootik gabe editatzeko bideratze-tablerik. Bideak existitu behar du, baina bezeroak kargatzen duen profilean sartzen da, eta beste aldea ados egonik bakarrik funtzionatzen du. Hona hemen aldaketa, berriz konektatzea, zerbitzariaren aldea eta atzera-egitea.

Aldaketaren aurretik: bide batek zer egin dezakeen eta zer ez

Bide batek galdera bati erantzuten dio: zein interfazek eraman behar du helmuga honetarako trafikoa. Ez du ezer baimetzen. Sarearen jabeak onartu ez badu telefono honek azpi-sare horretara irits daitekeenik, bide zuzen batek itxura zuzena duen konfigurazioa eta isilmandatutako jauzketa bat sortzen ditu atean, eta hurrengo ordua fitxategi okerra editatzen emango duzu.

Lortu akordio hori lehenengo, idatziz sareak jabea badu. Ondoren idatzi zer ez duzun egiten: ez diozu telefonoari LAN horren barruko helbiderik esleitzen, ez duzu zerbitzariaren listener-a aldatzen, eta ez duzu gunerik aukeratzen ostalari-izenaren arabera. Lau aldaketa desberdin dira eta lehenengoa bakarrik da zurea.

Editatu bezeroak benetan kargatzen duen profila

OpenVPN aukera-testu arrunta inportatzen duen bezero bateragarri baterako, gehikuntza lerro bat da:

route 10.60.0.0 255.255.255.0

Gehitu profilaren gorputzean, beste bideratze-direktiben ondoan, eta utzi operadorearen endpoint-a, ziurtagiriak, gakoen kudeaketa eta egiaztapen-lerroak zeuden bezalaxe. Ez itsatsi adibide zahar oso bat lerro bat mailegatzeko: konpresioa, fitxategi-bide absolutuak eta cipher ezarpen zaharkituak harekin bidaiatzen dute eta aparteko arazketa-saio bat kostatuko dizute.

Jendeak ahazten duen urratsa fitxategiaren jabetza da. Aplikazioak profila inportatu badu, erabiltzen duen kopia aplikazioarena da, eta deskargatutako jatorrizkoa editatzeak ez du ezer aldatzen. Erabili bezeroaren editore onartua, edo inportatu berriro editatutako fitxategia eguneratze-bidetik, eta egiaztatu profil aktiboaren izena izen antzekoak hainbat badira. Idatzi zein aldatu duzun.

Profileak route-nopull badarama jada, zerbitzaritik ez da biderik instalatzen eta telefonak behar duen aurrizki bakoitza espresuki zerrendatu behar da. Diseinu legitimo bat da, baina esan nahi du lerro bat ahaztuta uzteak zerbitzariaren ukapenaren itxura berbera duela.

Berriz konektatu eta egiaztatu gailuan

Deskonektatu lehenengo, eta gero berriz konektatu editatu duzun profil zehatza, aplikazioari azken saioa berrezartzen utzi beharrean. Ireki konexio-erregistroa eta egiaztatu bezeroak lerro berria analizatu duela; frontend-ak alde batera uzten duen bide-direktiba kopia okerra editatzearen emaitza ohikoa da.

Probatu helmuga helbidearen arabera, ez izenaren arabera. Zerbitzu-portu ezagun baterako TCP egiaztapen batek ping batek baino informazio gehiago ematen du, ostalari askok ICMP-ri erantzuten diotelako zerbitzu-portua iragazita dagoen bitartean. Helbideak erantzuten badu eta izenak ez, resolver galdera bat duzu, ez bideratze galdera bat, eta hurrengo atala ez da zuretzat.

Eremu-egiaztapen bi ere hemen sartzen dira. Aplikazioz aplikaziko VPN-ak esan nahi du helbide-bide bat egon daitekeela probatzen ari zaren aplikazioa multzo barruan ez dagoen bitartean, beraz probatu benetan barruan dagoen aplikazio batekin. Eta IPv4 aurrizki batek ez du ezer esaten IPv6 bideaz; zerbitzua dual-stack bada, gehitu dagokion IPv6 bidea edo espero bezeroak nahi ez zenuen bide bat lehenestea.

Emaitza negatibo bat goiz ezagutzea merezi du: tunel osoko bide batek 0.0.0.0/0 estaltzen badu jada, aurrizkia ez da falta eta berriz gehitzeak ez du ezer aldatzen. Estaldura bikoiztuak ez du zerbitzariaren ukapena ez eta falta den erantzuna konpontzen.

Amaitu bidea zerbitzarian

Hiru gauza egia izan behar dira telefonoaz harago. Atak helmugarako bide bat behar du eta telefonoko iturburua horretarantz birbidaltzeko baimena. Helmugak iturburu hori onartu eta erantzunak atearen bidez itzuli behar ditu, edo diseinuak irteeran itzulpen deliberatua behar du. OpenVPN eskuliburuaren route aukera bezeroaren aldeko direktiba estaltzen du; birbidaltzea eta itzulera-bideratzea makineria desberdinetako ezarpen bereiziak dira.

Helmuga beste VPN bezero baten atzean badago, atearen atzean zuzenean egon beharrean, zerbitzariak iroute bat behar du pare horren azpi-sarerako. Direktiba hori zerbitzariarena da eta zein bezerok duen aurrizki bat jabetzan deskribatzen du; telefonoak ezin du eman bere profil propiotik, eta bezeroaren aldeko editatzeak ez du hura ordezkatzen.

Egiaztatu itzulera-bidea modu esplizituan. Tunelaren ordez lehenetsitako bidetik irteten den erantzun batek erdi-irekiko sintoma klasikoa sortzen du: konexioa norabide batean ezartzen da eta ez da ezer itzultzen. Atean iturburu-itzulpena konponketa legitimo bat da helmugak atzera bideratu ezin duenean, baina bere ondorioak dituen politika-erabakia da.

Atzera-egitea eta onarpena

Gorde aurreko profila editatu aurretik. Aldaketak gauzak okerragotzen baditu, berrezarri kopia hori inportatze-bide beretik, berriz konektatu, eta egiaztatu portaera zaharra itzultzen dela — horrek egiaztatzen du uste zenuena aldatu duzula. Egoera zaharra berrezartzen ez duen atzera-egite batek esan nahi du aplikazioak hirugarren kopia bat gordetzen duela aurkitu ez duzuna.

Onartu aldaketa lau gauza betetzen direnean, berriz konektatu berri baten ondoren ordena honetan probatuta: helmugak erantzuten du bere zerbitzu-portuan, izen pribatuak ebazten du bat espero bada, HTTPS-ek oraindik aurreikusitako ostalari-izena baliozkotzen du, eta dena funtzionatzen du berrabiarazi ondoren edo Wi-Fi-tik zelularrera aldatu ondoren. Azken egiaztapenak harrapatzen du Android-ek tunela berrezarri arte soilik existitzen den bide bat.

• Egiaztatu sarearen jabeak helmuga onartzen duela ezer editatu aurretik.
• Jarri bidea bezeroak kargatzen duen profilean, eta gero inportatu berriro eta berriz konektatu.
• Egiaztatu zerbitzu-portuaren bidez, aplikazioz aplikaziko eremuaren barruan, helbide-familia zuzena erabiliz.
• Konpondu birbidaltzea, itzulera-bideratzea eta iroute zerbitzarian, ez telefonoan.
• Gorde atzera-egiteko kopia bat, eta probatu berriro berrabiarazi ondoren.