Android OpenVPN: eng privat Route derbäisetzen ouni den Telefon ze rooten
Setz eng Route an de Profil, deen Android wierklech luedt, a préif dann, ob de Server se erlaabt. Guide fir d'Ännerung, d'Neiverbindung an véier Kontrollen.
Du brauchs nach eng privat Subnetz — soe 10.60.0.0/24 — déi de Profil elo net enthält. Um Laptop géifs du eng Route derbäisetzen an weidergoen. Op Android ass de VPN eng App, den tun-Apparat gehéiert zu där App, an et gëtt keng Routingtabell, déi s du ouni root ännere kanns. D'Route muss awer existéieren, awer se geet an de Profil, deen de Client luedt, an se funktionéiert nëmmen, wann déi aner Säit averstanen ass. Hei sinn d'Ännerung, d'Neiverbindung, d'Serversäit an de Réckzuch.
Virun der Ännerung: wat eng Route ka maachen an wat net
Eng Route beäntwert eng Fro: wéi eng Interface soll den Trafic zu dësem Zil droen. Si autoriséiert näischt. Wann den Eegentemer vum Netz net averstanen ass, datt dësen Telefon dës Subnetz erreeche kann, dann erstellt eng korrekt Route eng Konfiguratioun, déi korrekt ausgesäit, an en stillen Drop um Gateway, an du verbréngs déi nächst Stonn domat, déi falsch Datei ze änneren.
Kréi déi Zoustëmmung fir d'éischt, schrëftlech, wann d'Netz en Eegentemer huet. Dann notéier, wat s du net méchs: s du gëss dem Telefon keng Adress an deem LAN, s du änderst net de Listener vum Server, an s du wiels keng Site no Hostnumm. Dat sinn véier verschidde Ännerungen an nëmmen déi éischt ass deng.
| The route gives you | The route does not give you |
|---|---|
| A destination prefix associated with the tunnel | Permission to forward at the gateway |
| A path for the phone's own traffic | A return route on the target host |
| A scope for the client's virtual interface | A name in DNS, or HTTPS identity |
Änner de Profil, deen de Client wierklech luedt
Fir e kompatibele Client, deen normalen OpenVPN-Optiounstext importéiert, ass d'Bäisetzen eng Linn:
route 10.60.0.0 255.255.255.0Setz se an de Kierper vum Profil, bei déi aner Routingdirektiven, an loosst den Endpoint, d'Zertifikater, d'Schlësselbehandlung an d'Verifikatiounslinne vum Bedreiwer genau wéi se waren. Kleeft keen ganzen alen Beispill an, just fir eng Linn ze léinen: Kompressioun, absolut Dateipied a veralt Cipher-Astellungen reesen mat a kaschten dir eng separat Debug-Sessioun.
De Schrëtt, deen d'Leit verpassen, ass den Eegentum vun der Datei. Wann d'App e Profil importéiert huet, dann ass d'Kopie, déi se benotzt, vun der App, an d'Ännere vum erofgeluedenen Original ännert näischt. Benotz den ënnerstëtzten Editor vum Client oder importéier déi geännert Datei iwwer den Updatewee erëm, a bestäteg den Numm vum aktive Profil, wann et méi ähnlech Nimm gëtt. Notéier, wéi eng s du geännert hues.
Wann de Profil schonn route-nopull huet, gëtt keng Route vum Server installéiert an all Prefix, deen den Telefon brauch, muss explizit opgelëscht ginn. Dat ass eng legitim Konzeption, awer et heescht, datt eng vergiessen Linn genau wéi eng Oflehnung vum Server ausgesäit.
Verbind nees a préif um Apparat
Trenn d'Verbindung fir d'éischt, da verbann dee spezifesche Profil, deen s du geännert hues, erëm, amplaz d'App d'lescht Sessioun restauréieren ze loossen. Maach de Verbindungslog op a bestäteg, datt de Client déi nei Linn analyséiert huet; eng Routingdirektiv, déi d'Interface ignoréiert, ass eng heefeg Folleg, wann ee meng falsch Kopie ännert.
Test d'Zil iwwer d'Adress, net iwwer den Numm. Eng TCP-Préifung op ee bekannte Serviceport seet méi wéi e Ping, well vill Hosten op ICMP äntweren, während de Serviceport gefiltert ass. Wann d'Adress äntwert an en Numm net, dann hues du eng Resolver-Fro an net eng Routing-Fro, an deen nächsten Deel ass net fir dech.
Do gehéieren och zwou Beräichspréifungen. VPN pro App heescht, datt eng Adressroute kënne present sinn, während d'App, mat där s du test, baussen dem abegraffene Set läit, also test mat enger App, déi wierklech bannen ass. An en IPv4-Prefix seet näischt iwwer den IPv6-Wee; wann de Service dual-stack ass, setz déi entspriechend IPv6-Route derbäi oder erwaart, datt de Client e Wee bevoeregt, deen s du net gemengt hues.
En negativt Resultat ass et wäert, fréi ze erkennen: wann eng Full-Tunnel-Route schonn 0.0.0.0/0 deckt, feelt de Prefix net an nach eng Kéier derbäisetzen ännert näischt. Duebel Deckung reparéiert keng Oflehnung op der Serversäit an och keng feelend Äntwert.
Maach de Wee um Server fäerdeg
Dräi Saachen mussen iwwer den Telefon eraus richteg sinn. De Gateway brauch eng Route zum Zil an d'Erlabnes, dem Telefon seng Quell dohinner weiderzeleeden. D'Zil muss déi Quell akzeptéieren an d'Äntwerten iwwer de Gateway zréckschécken, soss brauch d'Konzeption eng bewosst Iwwersetzung um Ausgang. D'route-Optioun aus dem OpenVPN-Handbuch deckt d'Direktiv op der Clientsäit; Weiderleedung a Réckwee-Routing sinn separat Astellungen op separate Maschinnen.
Wann d'Zil hannert engem anere VPN-Client läit an net direkt hannert dem Gateway, brauch de Server eng iroute fir d'Subnetz vun deem Peer. Déi Direktiv gehéiert dem Server a beschreift, wéi e Client e Prefix besëtzt; en Telefon kann se net aus sengem eegene Profil liwweren, a keng Quantitéit Ännerung op der Clientsäit ersetzt se.
Préif de Réckwee ausdrécklech. Eng Äntwert, déi iwwer déi Standardroute amplaz iwwer den Tunnel erausgeet, erzielt dat klassesch hallef-opent Symptom: d'Verbindung ass an eng Richtung opgebaut an et kënnt näischt zréck. Quell-Iwwersetzung um Gateway ass eng legitim Korrektur, wann d'Zil net zréckroute kann, awer et ass eng Politikentscheedung mat hiren eegene Konsequenzen.
Réckzuch an Ofnam
Haalt de virege Profil, ier s du en änderst. Wann d'Ännerung d'Situatioun verschlechtert, restauréier déi Kopie iwwer dee selwechte Reimportwee, verbann nees, a bestäteg, datt dat aalt Verhalen zréckkënnt — dat bestätegt, datt s du geännert hues, wat s du geduecht hues. E Réckzuch, deen den ale Stand net restauréiert, heescht, datt d'App eng drëtt Kopie huet, déi s du net fonnt hues.
Akzeptéier d'Ännerung, wann véier Saachen halen, getest an dëser Reihenfolge no enger neier Verbindung: d'Zil äntwert op sengem Serviceport, den privaten Numm léist sech op, wann een erwaart gëtt, HTTPS validéiert nach den ugedaachten Hostnumm, an alles funktionéiert nach no engem Neistart oder engem Wiessel vu Wi-Fi op Mobilfunk. Déi lescht Préifung ass déi, déi eng Route fänkt, déi nëmmen esou laang existéiert, bis Android den Tunnel nees opbaut.
- Bestäteg virun all Ännerung, datt den Eegentemer vum Netz d'Zil erlaabt.
- Setz d'Route an de Profil, deen de Client luedt, importéier dann erëm a verbann nees.
- Préif iwwer de Serviceport, bannen dem Beräich pro App, fir déi richteg Adressfamill.
- Fix Weiderleedung, Réckwee-Routing an iroute um Server, net um Telefon.
- Haalt eng Réckzuchskopie, a test no engem Neistart nach eng Kéier.