Server VPN Android: root tidak membuat ponsel dapat dijangkau
Tiga masalah terpisah menentukan apakah sebuah ponsel bisa melayani klien VPN: jalur masuk, model hak istimewa, dan penerusan. Root hanya menyentuh yang tengah.
Root mengubah operasi jaringan apa yang boleh dicoba suatu proses. Root tidak memberi ponsel alamat yang dapat dijangkau publik, tidak memesan pemetaan masuk di operator, dan tidak menjaga daemon tetap hidup setelah reboot. Jika Anda memutuskan apakah ponsel Android dapat berperan sebagai server VPN, pisahkan tiga pertanyaan: dapatkah klien yang dimaksud menjangkau listener sama sekali, model hak istimewa apa yang dibutuhkan implementasi server, dan apa yang harus diteruskan setelah terowongan berdiri.
Siapa yang harus menjangkau ponsel, dan dari mana
Klien di LAN yang sama dan diizinkan dan klien di data seluler menguji dua jaringan berbeda. Putuskan dulu yang dimaksud, karena jawabannya tidak saling berlaku. Di Wi-Fi, lalu lintas masuk yang tak diminta biasanya memerlukan pemetaan di router hulu dan jalur publik yang dapat dipakai di luarnya. Di seluler, NAT tingkat operator berarti IPv4 masuk sering tidak tersedia, apa pun yang diizinkan ponsel.
Poin terakhir itulah yang tidak bisa disentuh root. Firewall lokal ponsel dan NAT operator adalah sistem yang berbeda, dan mengubah yang pertama tidak berpengaruh pada yang kedua. Alamat antarmuka privat, ikon data seluler, atau soket yang mendengarkan bukan bukti keterjangkauan. Jika jalur operator memang menawarkan IPv6 yang dapat dirutekan global, Anda tetap perlu kebijakan listener dan firewall yang disengaja untuknya; memiliki alamat tidak sama dengan menerima koneksi.
| Client path | What actually decides reachability |
|---|---|
| Same LAN | The phone's listener and its local firewall |
| Wi-Fi, from the internet | A mapping on the upstream router plus a usable public path beyond it |
| Cellular IPv4 | The carrier's NAT, which the handset does not control |
| Cellular IPv6 | Address, listener and firewall policy together |
Melayani dan meneruskan adalah dua keberhasilan berbeda
Jabat tangan VPN yang selesai membuktikan terowongan itu ada. Itu tidak membuktikan klien dapat menjangkau LAN di balik ponsel, dan tidak membuktikan ponsel dapat berperan sebagai jalan keluar internet. Itu adalah konfigurasi terpisah yang dibangun di atas rencana alamat dalam, rute, perilaku kembali, dan kebijakan penerusan yang sempit untuk tugas yang benar-benar Anda inginkan.
Mode kegagalannya dapat diprediksi: jabat tangan berhasil, klien menampilkan terhubung, dan tidak ada yang termuat. Sebelum men-debug klien, putuskan peran mana dari dua peran yang Anda bangun. Akses jarak jauh ke perangkat di jaringan ponsel dan jalan keluar internet lewat terowongan penuh memerlukan aturan penerusan berbeda, dan memberikan keduanya saat Anda hanya ingin satu memperluas paparan tanpa menambah kemampuan yang Anda minta.
Model hak istimewa adalah pilihan, bukan root atau tidak sama sekali
Daemon OpenVPN konvensional yang memakai perangkat TUN kernel memerlukan kemampuan terkait, akses ke node perangkat, dan kerja sama kebijakan keamanan Android. Root bukan pengecualian menyeluruh dari SELinux; proses yang memiliki hak istimewa tetap dibatasi kebijakan platform. Itu sebabnya biner yang berjalan lancar di server Linux bisa gagal di ponsel tanpa kesalahan jelas soal izin.
Implementasi gateway di ruang pengguna bisa punya model hak istimewa yang sama sekali berbeda, jadi klaim umum bahwa setiap server VPN di Android butuh root terlalu luas. Yang dibeli root adalah kemampuan mencoba lebih banyak operasi, bukan jaminan operasi itu diizinkan atau hasilnya dapat dijangkau.
Pendaftaran layanan VPN milik Android sendiri adalah mekanisme lain lagi. Itu memberi aplikasi antarmuka klien terkelola dengan siklus hidup yang ditentukan; itu bukan pemasang server umum, dan menjalankan daemon dari terminal tidak memberinya pengelolaan selalu-aktif, kebijakan per aplikasi, atau jalur pemulihan sendiri.
Jika Anda ingin titik keluar, ubah arsitekturnya
Ketika tujuannya sekadar jalan keluar internet jarak jauh melalui ponsel dan bukan kompatibilitas dengan profil OpenVPN yang ada, node keluar yang didukung di jaringan overlay adalah desain yang lebih cocok. Tailscale mendokumentasikan peran node keluar Android dengan langkah pendaftaran, otorisasi, dan pemilihan kliennya sendiri.
Pertukarannya nyata dan layak dikatakan terus terang: Anda menerima protokol berbeda, model kepercayaan berbeda, dan ketergantungan pada akun serta layanan koordinasi itu. Itu tidak membuat klien OpenVPN yang tidak dimodifikasi bergabung ke overlay, dan tidak memberi Anda listener OpenVPN di alamat publik.
Apa yang masih dibutuhkan penerapan
Rute mana pun yang Anda pilih, dasar operasionallah yang menentukan apakah itu bertahan seminggu. Jaga kredensial server tetap privat, terbitkan identitas klien yang berbeda, dan rencanakan pencabutan sebelum Anda membutuhkannya. Putuskan bagaimana pembaruan datang, apa yang menjaga layanan tetap berjalan di latar belakang, dan bagaimana ia pulih setelah reboot atau perubahan jaringan.
Hindari jalan pintas yang tampak nyaman: biner statis usang, nama antarmuka yang dikodekan keras, dan skrip awal yang menghapus kebijakan firewall yang ada. Lalu terima hasilnya hanya terhadap uji konkret: klien jarak jauh yang berwenang menjangkau sumber daya yang dimaksud, tujuan terlarang tetap tidak tersedia, dan perangkat kembali sendiri setelah peristiwa siklus hidup yang didukung. Akses root adalah satu bahan yang mungkin dalam hasil itu, dan jarang yang menentukan.