Android OpenVPN: телефонды root етпей жеке маршрут қосу

Сізге профильде әзірге жоқ тағы бір жеке ішкі желі керек — айталық 10.60.0.0/24. Ноутбукте сіз маршрут қосып, әрі қарай жүрер едіңіз. Android-те VPN — қолданба, tun құрылғысы сол қолданбаға тиесілі, ал root-сыз өңдейтін маршруттау кестесі жоқ. Маршрут бәрібір болуы керек, бірақ ол клиент жүктейтін профильге кіреді және тек қарсы тарап келіскенде жұмыс істейді. Міне өңдеу, қайта қосылу, сервер жағы және кері қайтару.

Өңдеуден бұрын: маршрут не істей алады және не істей алмайды

Маршрут бір сұраққа жауап береді: осы межелікке трафикті қай интерфейс тасымалдауы керек. Ол ештеңеге рұқсат бермейді. Егер желі иесі бұл телефонның сол ішкі желіге жетуіне келіспесе, дұрыс маршрут дұрыс көрінетін конфигурация мен қақпадағы үнсіз түсіруді тудырады, ал келесі сағатты қате файлды өңдеумен өткізесіз.

Алдымен сол келісімді алыңыз, желінің иесі болса жазбаша. Сосын не істемейтініңізді жазып қойыңыз: телефонға сол LAN ішінде мекенжай бермейсіз, сервердің тыңдаушысын өзгертпейсіз және хост аты бойынша сайт таңдамайсыз. Бұл төрт түрлі өзгеріс және тек біріншісі сіздікі.

Клиент шынымен жүктейтін профильді өңдеңіз

Кәдімгі OpenVPN опция мәтінін импорттайтын үйлесімді клиент үшін қосымша бір жол:

route 10.60.0.0 255.255.255.0

Оны профильдің негізгі бөлігіне, басқа маршруттау нұсқауларының қасына қосыңыз, ал оператордың endpoint, сертификаттары, кілттерді өңдеу және тексеру жолдарын бұрынғы қалпында қалдырыңыз. Бір жолды қарызға алу үшін бүкіл ескі мысалды қоймаңыз: сығу, абсолютті файл жолдары және ескірген cipher параметрлері онымен бірге келеді және бөлек жөндеу сессиясына түседі.

Адамдар өткізіп жіберетін қадам — файлдың меншігі. Егер қолданба профильді импорттаған болса, ол пайдаланатын көшірме қолданбаныкі, ал жүктелген түпнұсқаны өңдеу ештеңені өзгертпейді. Клиенттің қолдайтын редакторын пайдаланыңыз немесе өңделген файлды жаңарту жолымен қайта импорттаңыз, ал ұқсас атаулар бірнеше болса, белсенді профиль атауын растаңыз. Қайсын өзгерткеніңізді жазып қойыңыз.

Егер профильде әлдеқашан route-nopull болса, серверден бірде-бір маршрут орнатылмайды және телефонға қажет әрбір префиксті анық түрде тізімге қосу керек. Бұл заңды жобалау, бірақ өткізіп жіберілген жол сервердің бас тартуына дәл ұқсайды дегенді білдіреді.

Қайта қосылып, құрылғыда тексеріңіз

Алдымен ажыратыңыз, содан кейін қолданбаға соңғы сессияны қалпына келтіруге жол бермей, өзгерткен нақты профильді қайта қосыңыз. Қосылу журналын ашып, клиент жаңа жолды талдағанын растаңыз; интерфейс елемейтін маршрут нұсқауы — қате көшірмені өңдеудің жиі салдары.

Межелікті атаумен емес, мекенжаймен тексеріңіз. Белгілі қызмет портына TCP тексеру ping-нен гөрі көбірек ақпарат береді, өйткені көптеген хосттар ICMP-ге жауап береді, ал қызмет порты сүзілген. Мекенжай жауап беріп, атау бермесе, сізде маршруттау емес, шешуші жүйе мәселесі бар, ал келесі бөлім сізге арналмаған.

Мұнда екі ауқым тексеруі де бар. Қолданба бойынша VPN дегеніміз — тексеріп жатқан қолданба қамтылған жиынтықтан тыс болса да мекенжай маршруты болуы мүмкін, сондықтан шынымен ішіндегі қолданбамен тексеріңіз. Ал IPv4 префиксі IPv6 жолы жөнінде ештеңе айтпайды; қызмет dual-stack болса, сәйкес IPv6 маршрутын қосыңыз немесе клиент ойламаған жолды таңдайды деп күтіңіз.

Бір теріс нәтижені ерте таныған жөн: егер full-tunnel маршруты әлдеқашан 0.0.0.0/0-ді қамтыса, префикс жетіспейді деген сөз емес және оны қайта қосу ештеңені өзгертпейді. Қосарланған қамту сервер жағындағы бас тартуды не жоқ жауапты түземейді.

Жолды серверде аяқтаңыз

Телефоннан тыс үш нәрсе дұрыс болуы керек. Қақпаға межелікке маршрут және телефонның көзін оған қарай жіберу рұқсаты қажет. Мақсат сол көзді қабылдап, жауаптарды қақпа арқылы қайтаруы керек, әйтпесе жобалауға шығуда әдейі аудару қажет. OpenVPN нұсқаулығындағы route опциясы клиент жағындағы нұсқауды қамтиды; жіберу және қайту маршруттауы бөлек машиналардағы бөлек параметрлер.

Егер межелік қақпаның тікелей артында емес, басқа VPN клиентінің артында болса, серверге сол әріптестің ішкі желісі үшін iroute қажет. Ол нұсқау серверге тиесілі және қай клиент префикске ие екенін сипаттайды; телефон оны өз профилінен бере алмайды, ал клиент жағындағы қанша өңдеу болса да оның орнын баспайды.

Қайту жолын анық тексеріңіз. Туннельдің орнына әдепкі маршрутпен шығатын жауап классикалық жартылай ашық белгіні тудырады: байланыс бір бағытта орнайды да, ештеңе қайтпайды. Мақсат кері маршруттай алмағанда қақпадағы көзді аудару заңды түзету, бірақ бұл өз салдары бар саясат шешімі.

Кері қайтару және қабылдау

Өңдеуден бұрын алдыңғы профильді сақтап қойыңыз. Егер өзгеріс жағдайды нашарлатса, сол көшірмені сол қайта импорттау жолымен қалпына келтіріңіз, қайта қосылыңыз және ескі мінез-құлық қайтарылғанын растаңыз — бұл өзгерттім деп ойлағаныңызды шынымен өзгерткеніңізді растайды. Ескі күйді қалпына келтірмейтін кері қайтару қолданбада сіз таппаған үшінші көшірме бар дегенді білдіреді.

Өзгерісті төрт шарт орындалғанда қабылдаңыз, олар жаңа қосылудан кейін осы ретпен тексеріледі: межелік өз қызмет портында жауап береді, күтілсе жеке атау шешіледі, HTTPS әлі де көзделген хост атын растайды және қайта жүктеуден не Wi-Fi-дан ұялы желіге ауысқаннан кейін де бәрі жұмыс істейді. Соңғы тексеру — Android туннельді қайта орнатпайынша ғана өмір сүретін маршрутты ұстайтын тексеру.

• Бірдеңені өңдеу алдында желі иесінің межелікке рұқсат беретінін растаңыз.
• Маршрутты клиент жүктейтін профильге қойыңыз, сосын қайта импорттап, қайта қосылыңыз.
• Дұрыс мекенжай тобы үшін қолданба ауқымының ішінде қызмет порты арқылы тексеріңіз.
• Жіберуді, қайту маршруттауын және iroute-ты серверде түзетіңіз, телефонда емес.
• Кері қайтару көшірмесін сақтап, қайта жүктеуден кейін қайта тексеріңіз.