Android OpenVPN: yksityisen reitin lisääminen puhelinta roottaamatta

Tarvitset vielä yhden yksityisen aliverkon — sanotaan 10.60.0.0/24 — jota profiilissa ei juuri nyt ole. Kannettavalla lisäisit reitin ja jatkaisit. Androidissa VPN on sovellus, tun-laite kuuluu sille sovellukselle, eikä reititystaulua voi muokata ilman rootia. Reitin on silti oltava olemassa, mutta se menee profiiliin, jonka asiakas lataa, ja se toimii vain, jos toinen puoli suostuu. Tässä ovat muokkaus, uudelleenyhdistäminen, palvelinpuoli ja palautus.

Ennen muokkausta: mitä reitti voi tehdä ja mitä ei

Reitti vastaa yhteen kysymykseen: mikä liitäntä kuljettaa liikenteen tähän kohteeseen. Se ei valtuuta mitään. Jos verkon omistaja ei ole hyväksynyt, että tämä puhelin voi tavoittaa kyseisen aliverkon, oikea reitti tuottaa oikealta näyttävän kokoonpanon ja hiljaisen pudotuksen yhdyskäytävässä, ja vietät seuraavan tunnin väärää tiedostoa muokaten.

Hanki se hyväksyntä ensin, kirjallisesti jos verkolla on omistaja. Kirjaa sitten, mitä et tee: et anna puhelimelle osoitetta kyseisen LANin sisällä, et muuta palvelimen listeneria etkä valitse sivustoa isäntänimen perusteella. Ne ovat neljä eri muutosta, ja vain ensimmäinen on sinun.

Muokkaa profiilia, jonka asiakas todella lataa

Yhteensopivalle asiakkaalle, joka tuo tavallista OpenVPN-vaihtoehtotekstiä, lisäys on yksi rivi:

route 10.60.0.0 255.255.255.0

Lisää se profiilin runkoon muiden reititysdirektiivien lähelle ja pidä operaattorin endpoint, varmenteet, avainten käsittely ja varmistusrivit täsmälleen sellaisina kuin ne olivat. Älä liitä kokonaista vanhaa esimerkkiä yhden rivin lainaamiseksi: pakkaus, absoluuttiset tiedostopolut ja vanhentuneet cipher-asetukset kulkevat mukana ja maksavat erillisen virheenkorjausistunnon.

Vaihe, joka ihmisiltä jää huomaamatta, on tiedoston omistajuus. Jos sovellus toi profiilin, sen käyttämä kopio on sovelluksen, eikä ladatun alkuperäisen muokkaaminen muuta mitään. Käytä asiakkaan tukemaa editoria tai tuo muokattu tiedosto uudelleen päivityspolun kautta, ja vahvista aktiivisen profiilin nimi, kun samankaltaisia nimiä on useita. Merkitse muistiin, mitä muutit.

Jos profiilissa on jo route-nopull, palvelimelta ei asenneta yhtään reittiä ja jokainen puhelimen tarvitsema etuliite on lueteltava erikseen. Se on laillinen suunnittelu, mutta se tarkoittaa, että puuttuva rivi näyttää täsmälleen palvelimen hylkäykseltä.

Yhdistä uudelleen ja varmista laitteella

Katkaise ensin yhteys ja yhdistä sitten uudelleen juuri siihen profiiliin, jota muokkasit, sen sijaan että annat sovelluksen palauttaa viimeisen istunnon. Avaa yhteysloki ja vahvista, että asiakas jäsensi uuden rivin; reittidirektiivi, jonka käyttöliittymä jättää huomiotta, on tavallinen seuraus väärän kopion muokkaamisesta.

Testaa kohde osoitteella, ei nimellä. TCP-tarkistus yhteen tunnettuun palveluporttiin kertoo enemmän kuin ping, koska monet isännät vastaavat ICMP:hen, kun taas palveluportti on suodatettu. Jos osoite vastaa ja nimi ei, sinulla on resolver-kysymys eikä reitityskysymys, eikä seuraava jakso ole sinulle.

Tähän kuuluvat myös kaksi laajuustarkistusta. Sovelluskohtainen VPN tarkoittaa, että osoitereitti voi olla olemassa, vaikka testaamasi sovellus on mukana olevan joukon ulkopuolella, joten testaa sovelluksella, joka todella on sisällä. Ja IPv4-etuliite ei kerro mitään IPv6-polusta; jos palvelu on dual-stack, lisää vastaava IPv6-reitti tai odota asiakkaan suosivan polkua, jota et tarkoittanut.

Yksi kielteinen tulos kannattaa tunnistaa varhain: jos full-tunnel-reitti kattaa jo 0.0.0.0/0, etuliite ei puutu eikä sen lisääminen uudelleen muuta mitään. Päällekkäinen kate ei korjaa palvelinpuolen hylkäystä eikä puuttuvaa vastausta.

Viimeistele polku palvelimella

Kolmen asian on oltava totta puhelimen ulkopuolella. Yhdyskäytävä tarvitsee reitin kohteeseen ja luvan välittää puhelimen lähde sitä kohti. Kohteen on hyväksyttävä tämä lähde ja palautettava vastaukset yhdyskäytävän kautta, tai suunnittelu tarvitsee tarkoituksellisen käännöksen lähdössä. OpenVPN-käsikirjan route-vaihtoehto kattaa asiakaspuolen direktiivin; välitys ja paluureititys ovat erillisiä asetuksia erillisillä koneilla.

Jos kohde on toisen VPN-asiakkaan takana eikä suoraan yhdyskäytävän takana, palvelin tarvitsee iroute-merkinnän kyseisen vertaisen aliverkolle. Se direktiivi on palvelimen oma ja kuvaa, mikä asiakas omistaa etuliitteen; puhelin ei voi toimittaa sitä omasta profiilistaan, eikä mikään määrä asiakaspuolen muokkausta korvaa sitä.

Tarkista paluupolku nimenomaisesti. Vastaus, joka lähtee oletusreittiä eikä tunnelia pitkin, tuottaa klassisen puoliavoimen oireen: yhteys muodostuu yhteen suuntaan eikä mitään tule takaisin. Lähdekäännös yhdyskäytävässä on laillinen korjaus, kun kohde ei voi reitittää takaisin, mutta se on käytäntöpäätös omine seurauksineen.

Palautus ja hyväksyntä

Säilytä edellinen profiili ennen muokkausta. Jos muutos pahentaa tilannetta, palauta se kopio saman uudelleentuontipolun kautta, yhdistä uudelleen ja vahvista, että vanha käytös palaa — se vahvistaa, että muutit sitä, mitä luulit muuttavasi. Palautus, joka ei palauta vanhaa tilaa, tarkoittaa, että sovelluksella on kolmas kopio, jota et ole löytänyt.

Hyväksy muutos, kun neljä asiaa pätee, testattuna tässä järjestyksessä tuoreen uudelleenyhdistämisen jälkeen: kohde vastaa palveluportillaan, yksityinen nimi selviää jos sitä odotetaan, HTTPS validoi edelleen aiotun isäntänimen, ja kaikki toimii edelleen uudelleenkäynnistyksen tai Wi-Fistä matkapuhelinverkkoon siirtymisen jälkeen. Viimeinen tarkistus on se, joka nappaa reitin, joka on olemassa vain siihen asti, että Android palauttaa tunnelin.

• Vahvista ennen mitään muokkausta, että verkon omistaja sallii kohteen.
• Laita reitti profiiliin, jonka asiakas lataa, ja tuo sitten uudelleen ja yhdistä uudelleen.
• Varmista palveluportin kautta, sovelluskohtaisen laajuuden sisällä, oikealle osoiteperheelle.
• Korjaa välitys, paluureititys ja iroute palvelimella, ei puhelimessa.
• Säilytä palautuskopio ja testaa uudelleen uudelleenkäynnistyksen jälkeen.