Pi VPN-szerver: a telefon alkalmazásával kezdd, ne a recepttel

A legtöbb Pi VPN-építés a szerver receptjével kezdődik és egy telefonnal végződik, amely nem tud csatlakozni. A sorrend fordított. A telefonos kliens egy adott protokollt valósít meg adott hitelesítési cserével, és a szervernek ehhez a cseréhez kell illeszkednie, nem fordítva. Ha előbb az alkalmazást rögzíted, egy egész délutáni hibakeresésből rövid ellenőrzőlista lesz.

A sorrend, amely megspórolja az újraépítést

Írd fel a telefon operációs rendszerét és a pontos VPN-alkalmazást, mielőtt bármit telepítenél a Pi-re. Ez a pár dönti el, egyáltalán melyik protokoll lehetséges. Egy kliensalkalmazás nem lesz másik kliens attól, hogy a profilban véletlenül szerepel egy ismerős mező.

A profilban lévő közös titok vagy ismerősnek tűnő portszám nem tesz egy protokollt másik protokollá. A csere vagy megfelel annak, amit az alkalmazás megvalósít, vagy olyan szakaszban hibázik, amely nagyon kevés olvasnivalót ad. Nincs olyan diagnosztika, amely egyszerű szavakkal azt mondaná, hogy "rossz protokoll". Időtúllépést, tanúsítványhibát vagy csendes újrapróbálkozási ciklust kapsz, és ezek mind szerverproblémának látszanak.

Amint az alkalmazás rögzítve van, a szerverválasztás szűkül, és az építés többi részének lesz célja.

Mit valósít meg valójában a telefon alkalmazása

Egy közzétett klienslista alkalmazást ír le, nem szolgáltatást. Az Android OpenVPN Connect alkalmazás OpenVPN-szervert vár; a szerveroldalt nem biztosítja. Nem lesz IPsec vagy L2TP kliens sem, amikor egy profil hasonlónak látszik.

Ez a különbség akkor számít a legtöbbet, amikor régebbi útmutatót követsz. A jelenlegi alkalmazás által elhagyott protokollhoz írt receptek továbbra is tisztán települnek a Pi-re, és továbbra is elbuknak a telefonon, ami konfigurációs hibának látszik, nem protokoll-eltérésnek.

Nézd meg az alkalmazás jelenlegi dokumentációjában, milyen profilformátumokat importál, mielőtt szervercsomag mellett döntenél. Öt perc olvasás többet ér egy újraépítésnél.

A négyrészes megállapodás

Írj fel négy dolgot, és tartsd őket együtt: a telefon operációs rendszerét és alkalmazásverzióját, a szerver megvalósítását a Pi-n, a hitelesítési és bizalmi szabályzatot, valamint a külső végpontot. Mind a négy érvénytelenítheti a másik hármat.

Egy alkalmazásfrissítés, a szervercsomag cseréje vagy egy új tanúsító hatóság megtöri a megállapodást, és a hiba a telefonról minden alkalommal ugyanúgy néz ki. Éppen a felírt négy teszi lehetővé, hogy azonosítsd, melyik rész mozdult el.

A hitelesítő adatoknak külön feladataik vannak

Döntsd el, hogy a profil kliens-tanúsítványokat, felhasználónevet és jelszót vagy támogatott kombinációt használ, és hangold össze a két véget. A szerver identitásának és a megbízható CA anyagának is meg kell felelnie annak, amit a kliens elfogad.

A CA nyilvános tanúsítványa és annak aláíró titkos kulcsa különböző objektumok. Csak a nyilvános rész tartozik a telefonos profilba. Ha az aláíró kulcsot telefonra teszed, odaadod az identitások létrehozásának képességét, ami ellentétes a CA rendeltetésével. Kezeld azt a fájlt az egész építés legérzékenyebb objektumaként.

Használd a szolgáltatás által támogatott export- és importfolyamatot ahelyett, hogy kézzel állítanád össze a profilt. A kézzel épített profilok általában csak asztali gépre szóló utasításokat tartalmaznak, amelyeket a mobilalkalmazás figyelmen kívül hagy vagy elutasít.

Mindenekelőtt ne helyettesítsd a tanúsítvány-ellenőrzést a "fogadj el bármilyen szervert" lehetőséggel, hogy egy régi példa csatlakozzon. Ez a kompatibilitási problémát a hitelesítés megkerülésévé változtatja, és általában a termelésig túlél, mert működik.

Az elérhetőség külön szerződés

A telefonnak el kell érnie a szerver külső végpontját a valódi felsőbb szintű elrendezésen keresztül. Az otthoni útválasztó fordítás, a szűrés és a szolgáltató NAT-ja mind közéjük esik. A dinamikus DNS-név csak stabil nevet ad a végpontnak; nem hoz létre bejövő útvonalat.

Ezután határozd meg, mit érhet el a kliens csatlakozás után: privát előtagokat vagy teljes internetes kijáratot, azok továbbítási és válaszútvonalait, a DNS viselkedését, és hogy az IPv6 benne van-e a hatókörben. A sikeres bejelentkezés ezek egyikét sem bizonyítja.

Fogadd el közvetlenül a szánt telefont és profilt, beleértve annak ellenőrzését, hogy egy nem engedélyezett erőforrás elérhetetlen marad, és hogy a visszavonás valóban megszünteti a hozzáférést. Az asztali klienssel elért siker azt az asztali klienst igazolja, nem a kezedben lévő telefont. A OpenVPN Connect listája konkrét példa egy olyan kliensalkalmazásra, amely megfelelő szolgáltatást vár.