Pi VPN poslužitelj: krenite od aplikacije na telefonu, a ne od recepta

Većina Pi VPN postava počinje receptom za poslužitelj i završava telefonom koji se ne može povezati. Redoslijed je obrnut. Klijent na telefonu implementira određeni protokol s određenom autentikacijskom razmjenom, a poslužitelj se mora prilagoditi toj razmjeni, a ne obrnuto. Ako prvo odaberete aplikaciju, cijelo poslijepodne otklanjanja pogrešaka pretvara se u kratak popis za provjeru.

Redoslijed koji štedi ponovnu izgradnju

Zapišite operacijski sustav telefona i točnu VPN aplikaciju prije nego što išta instalirate na Pi. Taj par određuje koji je protokol uopće moguć. Klijentska aplikacija ne postaje drugi klijent samo zato što profil slučajno sadrži poznato polje.

Zajednička tajna u profilu ili poznat broj porta ne pretvara jedan protokol u drugi. Razmjena ili odgovara onome što aplikacija implementira, ili pada u fazi koja vam daje vrlo malo za čitanje. Ne postoji dijagnostika koja običnim riječima kaže "pogrešan protokol". Dobivate istek vremena, pogrešku certifikata ili tihu petlju ponovnog pokušaja, a sve to izgleda kao problem s poslužiteljem.

Kad je aplikacija fiksirana, izbor poslužitelja se sužava i ostatak postave ima cilj.

Što aplikacija na telefonu zapravo implementira

Objavljeni popis klijenata opisuje aplikaciju, a ne uslugu. Aplikacija OpenVPN Connect za Android očekuje OpenVPN poslužitelj; ona ne pruža stranu poslužitelja. Također ne postaje IPsec ili L2TP klijent kada profil izgleda slično.

Ta je razlika najvažnija kada slijedite stariji vodič. Recepti napisani za protokol koji je trenutačna aplikacija napustila i dalje će se čisto instalirati na Pi i i dalje neće raditi na telefonu, što izgleda kao pogreška u konfiguraciji, a ne kao neusklađenost protokola.

Provjerite trenutačnu dokumentaciju aplikacije za formate profila koje uvozi prije nego što se obvežete na paket poslužitelja. Pet minuta čitanja bolje je od ponovne izgradnje.

Četverodijelni sporazum

Zapišite četiri stvari i držite ih zajedno: operacijski sustav telefona i verziju aplikacije, implementaciju poslužitelja na Pi, politiku autentikacije i povjerenja te vanjsku završnu točku. Svaka od četiri može poništiti ostale tri.

Nadogradnja aplikacije, promjena paketa poslužitelja ili novo tijelo za izdavanje certifikata ruše sporazum, a neuspjeh s telefona svaki put izgleda isto. Upravo zapisane četiri stavke omogućuju vam da utvrdite koji se dio pomaknuo.

Vjerodajnice imaju odvojene zadaće

Odlučite koristi li profil klijentske certifikate, korisničko ime i lozinku ili podržanu kombinaciju, i uskladite oba kraja. Identitet poslužitelja i materijal pouzdanog CA također moraju odgovarati onome što će klijent prihvatiti.

Javni certifikat CA i njegov privatni ključ za potpisivanje različiti su objekti. U profil telefona pripada samo javni dio. Ako ključ za potpisivanje stavite na telefon, dajete mogućnost stvaranja identiteta, što je suprotno svrsi CA. Tretirajte tu datoteku kao najosjetljiviji objekt u cijeloj postavi.

Koristite podržani tok izvoza i uvoza usluge umjesto ručnog sastavljanja profila. Ručno izgrađeni profili obično nose direktive samo za stolna računala koje mobilna aplikacija ignorira ili odbija.

Iznad svega, ne zamjenjujte provjeru certifikata opcijom "prihvati bilo koji poslužitelj" da biste stari primjer povezali. To pretvara problem kompatibilnosti u zaobilaženje autentikacije i obično preživi do produkcije jer funkcionira.

Dostupnost je odvojen ugovor

Telefon mora doći do vanjske završne točke poslužitelja kroz stvarni uzvodni raspored. Prijevod na kućnom usmjerivaču, filtriranje i NAT operatera sve stoje između njih. Dinamičko DNS ime završnoj točki daje samo stabilno ime; ono ne stvara ulazni put.

Zatim odredite što klijent smije dosegnuti nakon povezivanja: privatne prefikse ili puni izlaz na internet, njihove putanje prosljeđivanja i odgovora, ponašanje DNS-a i je li IPv6 u obuhvatu. Uspješna prijava ne dokazuje ništa od toga.

Prihvatite namijenjeni telefon i profil izravno, uključujući provjeru da neovlašteni resurs ostaje nedostupan i da opoziv stvarno uklanja pristup. Uspjeh sa stolnim klijentom potvrđuje taj stolni klijent, a ne telefon u vašoj ruci. Popis OpenVPN Connect konkretan je primjer klijentske aplikacije koja očekuje odgovarajuću uslugu.