Android OpenVPN: телефонду root кылбай жеке маршрут кошуу

Сизге профилде азырынча жок дагы бир жеке ички тармак керек — айталы, 10.60.0.0/24. Ноутбукта сиз маршрут кошуп, андан ары кетмексиз. Android'де VPN — колдонмо, tun түзмөгү ошол колдонмого таандык, ал эми root жок оңдой турган маршруттоо таблицасы жок. Маршрут баары бир болушу керек, бирок ал клиент жүктөгөн профилге кирет жана каршы тарап макул болгондо гана иштейт. Мына оңдоо, кайра туташуу, сервер тарабы жана артка кайтаруу.

Оңдоого чейин: маршрут эмне кыла алат жана эмне кыла албайт

Маршрут бир суроого жооп берет: бул багытка трафикти кайсы интерфейс алып барат. Ал эч нерсеге уруксат бербейт. Эгер тармактын ээси бул телефон ошол ички тармакка жетүүгө макул болбосо, туура маршрут туура көрүнгөн конфигурацияны жана дарбазадагы унчукпай түшүрүүнү жаратат, ал эми кийинки саатты туура эмес файлды оңдоо менен өткөрөсүз.

Алгач ошол макулдукту алыңыз, тармактын ээси болсо жазуу түрүндө. Анан эмнени кылбай жатканыңызды жазып коюңуз: телефонго ошол LAN ичинде дарек бербейсиз, сервердин угуучусун өзгөртпөйсүз жана хост аты боюнча сайт тандабайсыз. Бул төрт башка өзгөртүү жана биринчиси гана сиздики.

Клиент чын эле жүктөгөн профилди оңдоңуз

Кадимки OpenVPN опция текстин импорттогон шайкеш клиент үчүн кошумча бир сап:

route 10.60.0.0 255.255.255.0

Аны профилдин негизги бөлүгүнө, башка маршруттоо нускамаларынын жанына кошуңуз, ал эми оператордун endpoint, сертификаттары, ачкычтарды иштетүү жана текшерүү саптарын мурункудай эле калтырыңыз. Бир сапты карызга алуу үчүн бүт эски мисалды чаптабаңыз: кысуу, абсолюттук файл жолдору жана эскирген cipher жөндөөлөрү аны менен кошо келип, өзүнчө мүчүлүштүктү оңдоо сессиясын талап кылат.

Адамдар өткөрүп жиберген кадам — файлдын ээлиги. Эгер колдонмо профилди импорттогон болсо, ал колдонгон көчүрмө колдонмонунку, ал эми жүктөлгөн түпнусканы оңдоо эч нерсени өзгөртпөйт. Клиенттин колдогон редакторун пайдаланыңыз же оңдолгон файлды жаңыртуу жолу менен кайра импорттоңуз, ал эми окшош аттар бир нече болсо, активдүү профилдин атын ырастаңыз. Кайсынысын өзгөрткөнүңүздү жазып коюңуз.

Эгер профилде мурунтан route-nopull болсо, серверден бир да маршрут орнотулбайт жана телефонго керек болгон ар бир префикс ачык тизмеленүүгө тийиш. Бул мыйзамдуу долбоор, бирок өткөрүп жиберилген сап сервердин баш тартышына так окшош болот дегенди билдирет.

Кайра туташып, түзмөктө текшериңиз

Алгач ажыратыңыз, анан колдонмого акыркы сессияны калыбына келтирүүгө жол бербей, өзгөрткөн так профилди кайра туташтырыңыз. Туташуу журналын ачып, клиент жаңы сапты талдаганын ырастаңыз; интерфейс этибарга албаган маршрут нускамасы туура эмес көчүрмөнү оңдоонун кеңири тараган натыйжасы.

Багытты ат менен эмес, дарек менен сынаңыз. Белгилүү кызмат портуна TCP текшерүү ping'ден көбүрөөк маалымат берет, анткени көп хосттор ICMP'ге жооп берет, ал эми кызмат порту чыпкаланган. Дарек жооп берип, ат бербесе, сизде маршруттоо эмес, чечүүчү система маселеси бар, кийинки бөлүм сизге арналган эмес.

Бул жерде эки камтуу текшерүүсү да бар. Колдонмо боюнча VPN дегени — сиз сынап жаткан колдонмо камтылган топтомдон тышкары болсо да дарек маршруту болушу мүмкүн, ошондуктан чын эле ичиндеги колдонмо менен сынаңыз. Ал эми IPv4 префикси IPv6 жолу жөнүндө эч нерсе айтпайт; кызмат dual-stack болсо, тиешелүү IPv6 маршрутун кошуңуз же клиент сиз ойлобогон жолду артык көрөт деп күтүңүз.

Бир терс натыйжаны эрте тааныган жакшы: эгер full-tunnel маршруту мурунтан 0.0.0.0/0 ды камтыса, префикс жетишпейт деген жок жана аны кайра кошуу эч нерсени өзгөртпөйт. Кош камтуу сервер тараптагы баш тартууну же жок жоопту оңдобойт.

Жолду серверде бүтүрүңүз

Телефондон тышкары үч нерсе туура болушу керек. Дарбазага багытка маршрут жана телефондун булагын ага карай өткөрүүгө уруксат керек. Максат ошол булакты кабыл алып, жоопторду дарбаза аркылуу кайтарышы керек, болбосо долбоорго чыгууда атайын котормо керек. OpenVPN колдонмосунун route опциясы клиент тараптагы нускаманы камтыйт; өткөрүү жана кайтуу маршруттоосу өзүнчө машиналардагы өзүнчө жөндөөлөр.

Эгер багыт дарбазанын түз артында эмес, башка VPN клиентинин артында болсо, серверге ошол өнөктөштүн ички тармагы үчүн iroute керек. Ал нускама серверге таандык жана кайсы клиент префикске ээ экенин сүрөттөйт; телефон аны өз профилинен бере албайт жана клиент тараптагы канча оңдоо болбосун анын ордун баспайт.

Кайтуу жолун ачык текшериңиз. Туннелдин ордуна демейки маршрут менен чыккан жооп классикалык жарым ачык белгисин жаратат: байланыш бир багытта орнойт жана эч нерсе кайтпайт. Максат артка маршруттай албаса, дарбазадагы булак котормосу мыйзамдуу оңдоо, бирок бул өз кесепеттери бар саясат чечими.

Артка кайтаруу жана кабыл алуу

Оңдоодон мурун мурунку профилди сактап коюңуз. Эгер өзгөртүү абалды начарлатса, ошол көчүрмөнү ошол эле кайра импорттоо жолу менен калыбына келтириңиз, кайра туташыңыз жана эски жүрүм-турум кайтканын ырастаңыз — бул өзгөрттүм деп ойлогонуңузду чын эле өзгөрткөнүңүздү ырастайт. Эски абалды калыбына келтирбеген артка кайтаруу колдонмодо сиз таппаган үчүнчү көчүрмө бар экенин билдирет.

Өзгөртүүнү төрт шарт аткарылганда кабыл алыңыз, алар жаңы туташуудан кийин ушундай тартипте текшерилет: багыт өз кызмат портунда жооп берет, күтүлсө жеке ат чечилет, HTTPS дагы эле көздөлгөн хост атын текшерет жана кайра жүктөөдөн же Wi-Fi'ден уюлдук тармакка өткөндөн кийин да баары иштейт. Акыркы текшерүү — Android туннелди кайра орнотконго чейин гана жашаган маршрутту кармаган текшерүү.

• Бир нерсени оңдоодон мурун тармактын ээси багытка уруксат берерин ырастаңыз.
• Маршрутту клиент жүктөгөн профилге коюңуз, анан кайра импорттап, кайра туташыңыз.
• Туура дарек тобу үчүн колдонмо камтыган аймактын ичинде кызмат порту аркылуу текшериңиз.
• Өткөрүүнү, кайтуу маршруттоосун жана iroute'ту серверде оңдоңуз, телефондо эмес.
• Артка кайтаруу көчүрмөсүн сактап, кайра жүктөөдөн кийин кайра сынаңыз.