TAP eða TUN? OpenVPN-biðlarar fyrir Android og brúaðir þjónar

Snið sem virkar á fartölvu bregst á símanum. Augljóst skref er að breyta einu orði í stillingum biðlarans. Það orð hjálpar ekki, því endarnir tveir tala ekki um sama tegund umferðar.

TAP flytur Ethernet-ramma. TUN flytur IP-pakka. Android-VPN-forrit fær IP-tengi, sem gerir aðra af þessum tveimur fyrirkomulum mögulega og hina ekki, sama hvað stillingin segir.

Samanburðurinn er stuttur, en hann ræður því hvort þú getur lagað þetta í símanum eða þarft að breyta þjónustunni.

Tvær tegundir ganga með ólíkum farmi

TAP-tengi hagar sér eins og Ethernet-mótandi. Það flytur ramma, það er ARP, útvarp og allt annað sem LAN flytur undir IP. Það er það sem gerir brúun mögulega: göngin víkka útvarpssvæði og biðlarar haga sér eins og þeir séu tengdir við rofa.

TUN-tengi flytur IP-pakka sem eru stílaðir á það. Það er engin tengilags sem samið er um, ekkert ARP og ekkert útvarp. Leiðsla ræður því hvað fer inn í göngin, og stillingin á þjónahlið notar undirnet í stað brúar.

Báðir endar verða að vera sammála um hvort þeirra þeir gera. Að breyta dev tap í dev tun á öðrum endanum umbreytir ekki þjónustunni; það skapar biðlara sem býst við leiddum göngum og þjón sem enn sendir ramma, og handabandið getur tekist á meðan ekkert nothæft fer yfir.

Hvað Android gefur forritinu í raun

API VpnService kerfisins gefur forriti sýndartengi fyrir IP-pakka, stillt með vistföngum, leiðum og MTU. Það er enginn Ethernet-mótandi í því API, og forritið getur ekki búið einn til.

Þess vegna skjalfestir OpenVPN Connect stuðning við leiddar TUN-tengingar á Android frekar en TAP-brýr. Android-algengar spurningar eru yfirlýsing biðlarahliðar um þessi mörk, og hún samræmist API kerfisins.

Netverkfæri með root, sérsniðin fastbúnaður eða vara sem innleiðir skýran þýðingarlag eru annað fyrirkomulag. Algenga tilfellið er það sem á að skipuleggja út frá: forrit sem getur flutt inn skrána þína og keyrt sem venjulegur notandi, með IP-tengi og ekkert undir því.

Hvernig það lítur út þegar þú reynir samt

Tengingin kemst venjulega á. Það er það sem gerir bilunina ruglingslega: biðlarinn tilkynnir tengingu, þjónaskráin sýnir jafningja, og ekkert forrit virkar.

Umferð sem er stíluð á úthlutað vistfang símans berst ekki, því þjónninn brúar ramma á MAC-vistfang sem síminn hafði aldrei. Uppgötvun sem byggir á útvarpi verður tóm. Ef LAN treystir á DHCP yfir brúnni fær síminn ekki leigu þannig, og handvirkt úthlutað vistfang í brúaða undirnetinu býr ekki til vantar tengið.

Sumir biðlarar bregðast fyrr, við innflutning sniðs, þegar þeir sjá tegund tækis sem þeir geta ekki innleitt. Báðar hegðanir þýða það sama, og hvorugri er bætt með því að bæta við leiðum, breyta DNS eða víkka vistfangssvið ganganna.

Hvað þjónahliðin verður að breyta

Lagfæringin tilheyrir þeim sem rekur VPN-þjónustuna, og hún er yfirleitt viðbót frekar en flutningur. Keyrðu aðra OpenVPN-uppsetningu með leiddu tæki, eigin biðlaraundirneti og stillingu á þjónahlið sem úthlutar vistföngum og ýtir leiðunum sem símarnir þurfa. Núverandi brúaða uppsetning heldur áfram að þjóna tækjunum sem þurfa raunverulega Ethernet.

Tveir smáatriðir gera þetta starfhæft í reynd. LAN þarf afturleið fyrir nýja biðlaraundirnetið, sem vísar á VPN-hýsilinn, annars koma svörin aldrei til baka. Og eldveggurinn á hýsli ganganna verður að miðla milli tengis ganganna og LAN, og það er skrefið sem oftast er sleppt þegar prófun frá hýslinum sjálfum heppnast.

Ef rekstraraðilinn getur ekki bætt við þjónustu er valkosturinn tæki sem getur gengið í brúnna, það er fartölva eða beinir sem starfar fyrir hönd símans. Það er vinnugata með eigin stjórnunarkostnaði, ekki Android-stilling.

Ákveddu út frá forritinu, ekki göngunum

Spyrðu hvað síminn þarf í raun að ná, og kortleggðu það svo. Skráardeiling eða innanvörpsvefur sem næst með nafni eða vistfangi er IP-krafa, og leidd göng uppfylla hana þegar DNS leysir nafnið og leiðin er til. Uppgötvunartæki sem fer um staðbundið útvarpssvæði er ekki IP-krafa, og engin leiðsla fyllir það.

Þessi tafla er líka beiðnin sem á að senda. Nefndu forritið, vistfangið eða nafnið sem það notar, og hvort það sé háð uppgötvun. Rekstraraðili getur brugðist við þeirri lýsingunni, sem enginn getur gert við síma sem tengist ekki.

Að lokum, haltu TAP-þjónustunni fyrir tækin sem þurfa hana í stað þess að láta hvern biðlara líkja eftir LAN-mótanda. Tvær þjónustur með skýrum tilgangi er auðveldara að styðja en ein sem virkar hálfa leið fyrir alla.