Android VPN-þjónn: root gerir símann ekki aðgengilegan

Root breytir því hvaða nettengingaraðgerðir ferli má reyna. Það gefur símanum ekki opinberlega aðgengilegt vistfang, áskilur ekki innkomna vörpun hjá símafyrirtækinu og heldur ekki dímon lifandi eftir endurræsingu. Ef þú ert að ákveða hvort Android-sími geti starfað sem VPN-þjónn, aðgreindu þrjár spurningar: kemst ætlaður biðlari yfirhöfuð að hlustandanum, hvaða forréttindalíkan þarf þjónsuppsetningin, og hverju þarf að framsenda þegar göngin standa.

Hver þarf að komast að símanum, og hvaðan

Biðlari á sama leyfða LAN og biðlari á farsímagögnum prófa tvö ólík net. Ákveddu hið ætlaða fyrst, því svörin flytjast ekki yfir. Á Wi-Fi þarf óumbeðinn innkomandi umferð yfirleitt vörpun í yfirstreymisrouter og nothæfa opinbera leið handan hans. Á farsímaneti þýðir NAT á stigi símafyrirtækis að innkomandi IPv4 er oft ekki tiltækt, hvað sem síminn leyfir.

Síðasti punkturinn er sá sem root nær ekki til. Staðbundinn eldveggur símans og NAT símafyrirtækisins eru ólík kerfi, og að breyta því fyrra hefur engin áhrif á það síðara. Einkarekið tengivistsvistfang, farsímagagnatákn eða hlustandi sökkull eru ekki sönnun um aðgengi. Ef leið símafyrirtækisins býður samt sem áður alþjóðlega stýranlegt IPv6 þarftu engu að síður vísvitandi stefnu fyrir hlustanda og eldvegg fyrir það; að eiga vistfang er ekki það sama og að taka við tengingum.

Þjónusta og framsending eru tveir ólíkir árangrar

Lokið VPN-handaband sannar að göngin séu til. Það sannar ekki að biðlarinn komist að LAN bak við símann, og ekki að síminn geti starfað sem útgangur á internetið. Þetta eru aðskildar stillingar byggðar á innri vistfangaskipulaginu, leiðum, endurkomuhegðun og þröngri framsendingarstefnu fyrir verkefnið sem þú vilt í raun.

Bilunarhátturinn er fyrirsjáanlegur: handabandið tekst, biðlarinn sýnir tengingu, og ekkert hleðst. Áður en þú kembir biðlarann skaltu ákveða hvort hlutverksins tveggja þú byggir. Fjartenging við tæki á neti símans og útgangur á internetið í gegnum full göng krefjast mismunandi framsendingarreglna, og að veita bæði þegar þú vildir eitt eykur áhættuna án þess að bæta við getunni sem þú baðst um.

Forréttindalíkanið er val, ekki root eða ekkert

Hefðbundinn OpenVPN-dímon sem notar TUN-tæki kjarnans þarf samsvarandi getu, aðgang að tækishnútnum og samvinnu öryggisstefnu Android. Root er ekki almenn undanþága frá SELinux; forréttindaferli er enn takmarkað af stefnu kerfisins. Þess vegna getur tvítölubók sem gengur vel á Linux-þjóni bilað í síma án augljósrar villu um heimildir.

Útfærsla hliðs í notendarými getur haft allt annað forréttindalíkan, svo algenga fullyrðingin að sérhver VPN-þjónn á Android þurfi root er of víðtæk. Það sem root kaupir þér er getan til að reyna fleiri aðgerðir, ekki trygging fyrir því að þær séu leyfðar eða að niðurstaðan sé aðgengileg.

Skráning VPN-þjónustu Android sjálfs er enn annar vélbúnaður. Hún gefur forriti stýrða biðlaraviðmót með skilgreindum lífsferli; hún er ekki almennur þjónsuppsetjari, og að ræsa dímon úr skjáhermi gefur því ekki stöðuga stjórnun, stefnu fyrir hvert forrit eða eigin endurheimtarleið.

Ef þú vilt útgangspunkt skaltu breyta arkitektúrnum

Þegar markmiðið er einfaldlega fjartenging út á internetið í gegnum símann frekar en samhæfni við fyrirliggjandi OpenVPN-snið, er studdur útgangshnútur í yfirlagnetskerfi betur hannaður kostur. Tailscale skjalfestir hlutverk Android-útgangshnúts með eigin skrefum fyrir skráningu, heimild og biðlaraval.

Skiptin eru raunveruleg og vert að segja skýrt: þú samþykkir annað samskiptareglur, annað traustlíkan og ósjálfstæði frá þeim reikningi og samhæfingarþjónustu. Það fær óbreyttan OpenVPN-biðlara ekki til að ganga í yfirlagnetið, og það gefur þér ekki OpenVPN-hlustanda á opinberu vistfangi.

Hvað uppsetningin þarf enn

Hvaða leið sem þú velur, rekstrargrunnurinn ræður því hvort það lifir viku. Hafðu þjónsauðkenni lokaðar, gefðu út aðskilin biðlarasjálfsmynd og skipuleggðu afturköllun áður en þú þarft hana. Ákveddu hvernig uppfærslur berast, hvað heldur þjónustunni gangandi í bakgrunni og hvernig hún nær sér eftir endurræsingu eða nettengingarbreytingu.

Forðastu flýtileiðir sem virðast þægilegar: úrelta kyrrstæða tvítölubók, harðkóðuð tengivistsnöfn og uppstartsskript sem hreinsar fyrirliggjandi eldveggsstefnu. Samþykktu svo niðurstöðuna aðeins gegn áþreifanlegu prófi: leyfður fjarstaddur biðlari nær ætlaðri auðlind, bannaðir áfangastadir haldast óaðgengilegir, og tækið kemur sjálft aftur eftir studda lífsferilsatburðinn. Root-aðgangur er einn mögulegur hluti í þeirri niðurstöðu, og sjaldan sá ráðandi.