Pi VPN სერვერი: დაიწყეთ ტელეფონის აპიდან და არა რეცეპტიდან

Pi-ზე VPN-ის აწყობის უმეტესობა სერვერის რეცეპტით იწყება და ტელეფონით მთავრდება, რომელიც ვერ უკავშირდება. რიგი შებრუნებულია. ტელეფონის კლიენტი ახორციელებს კონკრეტულ პროტოკოლს კონკრეტული ავთენტიფიკაციის გაცვლით, და სერვერმა უნდა შეესაბამებოდეს სწორედ ამ გაცვლას და არა პირიქით. თუ ჯერ აპს გადაწყვეტთ, მთელი ნახევარი დღე გამართვის სამუშაო მოკლე კონტროლის სიად იქცევა.

რიგი, რომელიც ხელახალ აწყობას ზოგავს

ჩაწერეთ ტელეფონის ოპერაციული სისტემა და ზუსტი VPN აპი, სანამ Pi-ზე რამეს დააყენებთ. ეს წყვილი განსაზღვრავს, საერთოდ რომელი პროტოკოლია შესაძლებელი. კლიენტური აპი არ ხდება სხვა კლიენტი მხოლოდ იმიტომ, რომ პროფილში შემთხვევით ნაცნობი ველია.

პროფილში არსებული საერთო საიდუმლო, ან ნაცნობად მოჩვენებული პორტის ნომერი, ერთ პროტოკოლს მეორედ არ აქცევს. გაცვლა ან შეესაბამება იმას, რასაც აპი ახორციელებს, ან ისეთ ეტაპზე ჩავარდება, რომელიც ძალიან ცოტას გაძლევთ წასაკითხად. არ არსებობს დიაგნოსტიკა, რომელიც მარტივი სიტყვებით იტყვის "არასწორი პროტოკოლი". თქვენ იღებთ დროის ამოწურვას, სერტიფიკატის შეცდომას ან ჩუმ განმეორების ციკლს, და ეს ყველაფერი სერვერის პრობლემას ჰგავს.

აპის დაფიქსირების შემდეგ სერვერის არჩევანი ვიწროვდება და დანარჩენ აწყობას მიზანი აქვს.

რას ახორციელებს ტელეფონის აპი სინამდვილეში

გამოქვეყნებული კლიენტების სია აღწერს აპლიკაციას და არა სერვისს. OpenVPN Connect აპი Android-ისთვის ელოდება OpenVPN სერვერს; ის არ უზრუნველყოფს სერვერის მხარეს. ის ასევე არ ხდება IPsec ან L2TP კლიენტი, როცა პროფილი მსგავსად გამოიყურება.

ეს განსხვავება ყველაზე მეტად მაშინ მნიშვნელოვანია, როცა ძველ გზამკვლევს მიჰყვებით. პროტოკოლისთვის დაწერილი რეცეპტები, რომელიც მიმდინარე აპმა მიატოვა, მაინც სუფთად დაყენდება Pi-ზე და მაინც ჩავარდება ტელეფონზე, რაც კონფიგურაციის შეცდომად იკითხება და არა პროტოკოლის შეუთავსებლობად.

სანამ სერვერის პაკეტს აირჩევთ, გადახედეთ აპის მიმდინარე დოკუმენტაციაში, რომელი პროფილის ფორმატებს იმპორტირებს. ხუთი წუთის კითხვა ხელახალ აწყობაზე უკეთესია.

ოთხნაწილიანი შეთანხმება

ჩაწერეთ ოთხი რამ და ერთად შეინახეთ: ტელეფონის ოპერაციული სისტემა და აპის ვერსია, სერვერის განხორციელება Pi-ზე, ავთენტიფიკაციისა და ნდობის პოლიტიკა და გარე ბოლო წერტილი. ოთხიდან თითოეულს შეუძლია დანარჩენი სამი გააუქმოს.

აპის განახლება, სერვერის პაკეტის შეცვლა ან ახალი სერტიფიკატის ორგანო არღვევს შეთანხმებას, და წარუმატებლობა ტელეფონიდან ყოველ ჯერზე ერთნაირად ჩანს. სწორედ ჩაწერილი ოთხი გაძლევთ საშუალებას დაადგინოთ, რომელი ნაწილი გადაადგილდა.

სამართავ მონაცემებს ცალკე ამოცანები აქვთ

გადაწყვიტეთ, იყენებს პროფილი კლიენტის სერტიფიკატებს, მომხმარებლის სახელს და პაროლს, თუ მხარდაჭერილ კომბინაციას, და შეათანხმეთ ორივე მხარე. სერვერის იდენტობა და სანდო CA მასალა ასევე უნდა შეესაბამებოდეს იმას, რასაც კლიენტი მიიღებს.

CA-ის საჯარო სერტიფიკატი და მისი ხელმომწერი კერძო გასაღები სხვადასხვა ობიექტია. ტელეფონის პროფილში მხოლოდ საჯარო ნაწილი ხვდება. ხელმოწერის გასაღების ტელეფონზე დადება იდენტობების შექმნის უნარს აძლევს ხელიდან, რაც CA-ის დანიშნულების საწინააღმდეგოა. მოექეცით ამ ფაილს, როგორც მთელი აწყობის ყველაზე მგრძნობიარე ობიექტს.

გამოიყენეთ სერვისის მხარდაჭერილი ექსპორტისა და იმპორტის პროცესი და არა პროფილის ხელით აწყობა. ხელით აწყობილი პროფილები ჩვეულებრივ მხოლოდ სამუშაო მაგიდისთვის განკუთვნილ მითითებებს ატარებს, რომლებსაც მობილური აპი უგულებელყოფს ან უარყოფს.

ყველაზე მთავარი, არ შეცვალოთ სერტიფიკატის შემოწმება "ნებისმიერი სერვერის მიღებით", რომ ძველი მაგალითი დაუკავშირდეს. ეს თავსებადობის პრობლემას ავთენტიფიკაციის გვერდის ავლად აქცევს და, რადგან მუშაობს, ჩვეულებრივ წარმოებამდე რჩება.

მიწვდომადობა ცალკე ხელშეკრულებაა

ტელეფონმა უნდა მიაღწიოს სერვერის გარე ბოლო წერტილს რეალური ზედა დინების განლაგებით. სახლის როუტერის თარგმანი, ფილტრაცია და ოპერატორის NAT ყველა მათ შორის დგას. დინამიური DNS სახელი ბოლო წერტილს მხოლოდ სტაბილურ სახელს აძლევს; ის შიდა გზას არ ქმნის.

შემდეგ განსაზღვრეთ, რას შეიძლება მიაღწიოს კლიენტმა დაკავშირების შემდეგ: კერძო პრეფიქსები ან სრული ინტერნეტ გასასვლელი, მათი გადამისამართებისა და პასუხის გზები, DNS-ის ქცევა და შედის თუ არა IPv6 არეალში. წარმატებული შესვლა ამათგან არაფერს ამტკიცებს.

მიიღეთ განზრახული ტელეფონი და პროფილი უშუალოდ, მათ შორის შემოწმება, რომ არაუფლებამოსილი რესურსი მიუწვდომელი რჩება და გაუქმება ნამდვილად აშორებს წვდომას. სამუშაო მაგიდის კლიენტთან წარმატება ადასტურებს სწორედ ამ კლიენტს და არა თქვენს ხელში არსებულ ტელეფონს. OpenVPN Connect-ის სია კონკრეტული მაგალითია კლიენტური აპლიკაციისა, რომელიც შესაბამის სერვისს ელოდება.