Pi VPN-tsjinner: begjin by de app fan 'e tillefoan, net by it resept

De measte Pi VPN-bouwen begjinne by it resept fan 'e tsjinner en einigje mei in tillefoan dy't gjin ferbining meitsje kin. De folchoarder is ferkeard om. In tillefoanklient ymplementearret in beskaat protokol mei in beskate autentikaasje-útwikseling, en de tsjinner moat by dy útwikseling passe, net oarsom. As jo earst de app fêststelle, wurdt in hiele middei debuggen in koarte kontrôlelijst.

De folchoarder dy't it weropbouwen besparret

Skriuw it bestjoeringssysteem fan 'e tillefoan en de krekte VPN-app op foardat jo eat op 'e Pi ynstallearje. Dat pear bepaalt hokker protokol oft uberhaupt mooglik is. In klientapp wurdt gjin oare klient om't in profyl tafallich in fertroud fjild befettet.

In mienskiplik geheim yn in profyl, of in poartnûmer dat fertroud liket, makket fan it iene protokol gjin oar. De útwikseling past by wat de app ymplementearret, of se mislearret yn in faze dy't jo hiel lyts bytsje te lêzen jout. Der is gjin diagnoaze dy't yn gewoane wurden "ferkeard protokol" seit. Jo krije in time-out, in sertifikaatflater of in stille werhellingslus, en dat allegear liket op in tsjinnerprobleem.

As de app fêstleit, wurdt de kar fan tsjinner smeller en hat de rest fan 'e bou in doel.

Wat de tillefoanapp eins ymplementearret

In publisearre klientlist beskriuwt in applikaasje, gjin tsjinst. De app OpenVPN Connect foar Android ferwachtet in OpenVPN-tsjinner; se leveret de tsjinnerkant net. Se wurdt ek gjin IPsec- of L2TP-klient as in profyl der itselde útsjocht.

Dat ferskil jildt it meast by it folgjen fan in âlder hânboek. Resepten skreaun foar in protokol dat de hjoeddeiske app ferlitten hat, wurde noch altyd skjin ynstallearre op 'e Pi en mislearje noch altyd op 'e tillefoan, wat lêst as in konfiguraasjeflater en net as in protokolôfwiking.

Besjoch de hjoeddeiske dokumintaasje fan 'e app foar de profylformaten dy't se ymportearret foardat jo jo oan in tsjinnerpakket ferbine. Fiif minuten lêzen is better as in weropbou.

De fjouwerdielige oerienkomst

Skriuw fjouwer dingen op en hâld se byinoar: it bestjoeringssysteem en de appferzje fan 'e tillefoan, de tsjinnerymplemintaasje op 'e Pi, it autentikaasje- en fertrouwensbelied, en it eksterne einpunt. Elk fan 'e fjouwer kin de oare trije ûnjildich meitsje.

In appfernijing, in oar tsjinnerpakket of in nije sertifikaasjeautoriteit brekke de oerienkomst, en de flater liket fan 'e tillefoan ôf elke kear itselde. Krekt de fjouwer opskreaune dingen meitsje it mooglik om te sjen hokker part ferskood is.

Bewiisstikken hawwe aparte taken

Beslis oft it profyl kliïntsertifikaten, in brûkersnamme en wachtwurd of in stipe kombinaasje brûkt, en bring beide kanten op ien line. De identiteit fan 'e tsjinner en it fertroude CA-materiaal moatte ek passe by wat de klient akseptearret.

It iepenbiere sertifikaat fan 'e CA en syn partikuliere ûndertekeningskaai binne ferskate objekten. Allinnich it iepenbiere part heart yn in tillefoanprofyl. As jo de ûndertekeningskaai op in tillefoan sette, jouwe jo de mooglikheid om identiteiten te meitsjen wei, en dat is it tsjinstelde fan wêr't in CA foar is. Behannelje dat bestân as it meast gefoelige objekt fan 'e hiele bou.

Brûk de stipe eksport- en importwurkwize fan 'e tsjinst ynstee fan in profyl mei de hân gear te setten. Mei de hân boude profilen drage meast rjochtlinen allinnich foar buroblêd dy't de mobile app negearret of wegere.

Boppedat, ferfange jo sertifikaatfalidaasje net troch "akseptearje elke tsjinner" om in âld foarbyld ferbine te litten. Dat makket fan in kompatibiliteitsprobleem in omsykjen fan autentikaasje, en it oerlibbet meast oant produksje om't it wurket.

Berikberens is in apart kontrakt

De tillefoan moat it eksterne einpunt fan 'e tsjinner berikke fia de echte upstream-opstelling. De oersetting fan 'e hûsrûter, it filterjen en de NAT fan 'e oanbieder steane allegear tusken beide. In dynamyske DNS-namme jout it einpunt allinnich in stabile namme; it makket gjin yngeande paad.

Beskaat dan wat de klient berikke mei nei it ferbinen: partikuliere prefiksen of in folsleine internetútgong, harren trochstjoer- en antwurdpaden, DNS-gedrach, en oft IPv6 yn it berik leit. In slagge oanmelding bewiist dêr neat fan.

Akseptearje de bedoelde tillefoan en it profyl direkt, ynklusyf in kontrôle dat in net-tawijde boarne ûnberikber bliuwt en dat yntrekken echt tagong fuorthellet. Sukses mei in buroblêdklient befêstiget dy buroblêdklient, net de tillefoan yn jo hân. De list fan OpenVPN Connect is in konkreet foarbyld fan in klientapp dy't in passende tsjinst ferwachtet.