Pi VPN-Server: fänkt mat der App um Telefon un, net mam Rezept

Déi meescht Pi VPN-Opbauten fänken mam Rezept vum Server un an enden mat engem Telefon, dat sech net verbannen kann. D'Reiefolleg ass ëmgedréit. En Telefon-Client implementéiert e bestëmmte Protokoll mat engem bestëmmten Authentifikatiouns-Austausch, an de Server muss zu deem Austausch passen, net ëmgedréit. Wann Dir d'App als éischt festleet, gëtt en Nomëtteg Debugging eng kuerz Checklist.

D'Reiefolleg, déi den Nei-Opbau spuert

Schreift d'Betribssystem vum Telefon an déi genau VPN-App op, éier Dir eppes um Pi installéiert. Dës Koppel entscheet, wéi ee Protokoll iwwerhaapt méiglech ass. Eng Client-App gëtt net en anere Client, just well e Profil zoufälleg en bekannte Feld enthält.

E gemeinsamt Geheimnis an engem Profil, oder eng Portnummer déi bekannt ausgesäit, mécht aus engem Protokoll keen aneren. Den Austausch passt entweder zu deem, wat d'App implementéiert, oder en schléit an enger Phase feel, déi Iech ganz wéineg ze liese gëtt. Et gëtt keng Diagnos, déi mat einfache Wierder "falsche Protokoll" seet. Dir kritt eng Zäitüberschreidung, e Zertifikatsfehler oder eng stomm Widderhuelungsschleef, an dat alles gesäit aus wéi e Serverproblem.

Wann d'App fixéiert ass, gëtt d'Serverwahl méi schmuel an de Rescht vum Opbau huet en Zil.

Wat d'App um Telefon tatsächlech implementéiert

Eng publizéiert Client-Lëscht beschreift eng Applikatioun, keen Déngscht. D'App OpenVPN Connect fir Android erwaart e Server OpenVPN; si stellt d'Server-Säit net zur Verfügung. Si gëtt och keen IPsec- oder L2TP-Client, wann e Profil ähnlech ausgesäit.

Dee Grond ënnerscheet sech am meeschten, wann Dir enger eelerer Uleedung follegt. Rezepter, déi fir e Protokoll geschriwwe goufen, deen déi aktuell App opginn huet, installéiere sech nach ëmmer propper um Pi a schléien nach ëmmer um Telefon feel, wat wéi e Konfiguratiounsfehler a net wéi eng Protokoll-Ofwäichung gelies gëtt.

Kuckt an der aktueller Dokumentatioun vun der App no, wéi eng Profilformater se importéiert, éier Dir Iech op e Serverpak festleet. Fënnef Minutten liese si besser wéi en Nei-Opbau.

De véierdeelegen Accord

Schreift véier Saachen op a haalt se beienaner: d'Betribssystem an d'App-Versioun vum Telefon, d'Serverimplementatioun um Pi, d'Authentifikatiouns- an d'Vertrauenspolitik, an de externen Endpunkt. Jiddwereng vun de véier kann déi aner dräi ongülteg maachen.

En App-Upgrade, e Wiessel vum Serverpak oder eng nei Zertifizéierungsautoritéit brécht den Accord, an de Fehler gesäit vum Telefon all Kéier d'selwescht aus. Grad déi véier opgeschriwwen erlaben et, festzestellen, wéi en Deel sech geréckelt huet.

D'Authentifikatiounsdate sinn opgedeelt

Entscheet, ob de Profil Client-Zertifikater, e Benotzernumm a Passwuert oder eng ënnerstëtzt Kombinatioun benotzt, an bréngt déi zwou Säiten an Iwwereneestëmmung. D'Identitéit vum Server an d'Material vun der vertrauenswürdeger CA musse bis och dozou passen, wat de Client akzeptéiert.

De öffleche Zertifikat vun der CA an hire private Ënnerschrëftsschlüssel sinn ënnerschiddlech Objeten. Nëmmen den öfflechen Deel gehéiert an e Telefonprofil. De Ënnerschrëftsschlüssel um Telefon ze leeën gëtt d'Fäegkeet op, Identitéiten ze schafen, wat de Géigendeel vun deem ass, wofir eng CA do ass. Behandelt dës Datei wéi den empfindlechsten Objet am ganze Opbau.

Benotzt de unterstützten Export- an Importoflaf vum Service, amplaz e Profil vun Hand zesummenzesetzen. Handgebaute Profilen droen meeschtens direktiven nëmmen fir den Desktop, déi d'mobil App ignoréiert oder refuséiert.

Iwwer allem, ersetzt d'Zertifikatspréifung net duerch "all Server akzeptéieren", fir en ale Beispill ze verbannen. Dat verwandelt e Kompatibilitéitsproblem an eng Ëmgoe vun der Authentifikatioun, an et iwwerlieft meeschtens bis an d'Produktioun, well et funktionéiert.

Erreechbarkeet ass en eegene Kontrakt

Den Telefon muss den externen Endpunkt vum Server iwwer déi richteg Upstream-Leedung erreechen. D'Iwwersetzung vum Heemrouter, d'Filterung an den NAT vum Mobilfunkbetreiber leien all tëscht deenen zwee. En dynamesehen DNS-Numm gëtt dem Endpunkt just en stännegen Numm; en schaaft keen erakomenden Wee.

Definéiert dann, wat de Client no der Verbindung erreeche kann: privat Prefixen oder e kompletten Internetausgang, hire Weiderleesungs- an Äntwertswee, d'DNS-Verhalen, an ob IPv6 am Ëmfang ass. Eng erfollegräich Umeldung beweist näischt dovu.

Akzeptéiert den Telefon an de Profil, déi geduecht sinn, direkt, dorënner eng Kontroll, datt eng net-autoriséiert Ressource onerreechbar bleift an datt de Widderruff den Zougang wierklech ewech hëlt. Erfolleg mat engem Desktop-Client bestätegt deen Desktop-Client, net den Telefon an Ärer Hand. D'Lëscht vun OpenVPN Connect ass e konkreten Beispill fir eng Client-Applikatioun, déi eng passend Déngschtleeschtung erwaart.