Pi VPN serveris: pradėkite nuo telefono programėlės, o ne nuo recepto

Dauguma Pi VPN diegimų prasideda serverio receptu ir baigiasi telefonu, kuris negali prisijungti. Tvarka yra atvirkščia. Telefono klientas įgyvendina konkretų protokolą su konkrečiu autentifikavimo apsikeitimu, ir serveris turi atitikti tą apsikeitimą, o ne atvirkščiai. Jei pirmiausia pasirenkate programėlę, visa popietė derinimo virsta trumpu kontroliniu sąrašu.

Tvarka, kuri sutaupo perrinkimą

Užsirašykite telefono operacinę sistemą ir tikslią VPN programėlę prieš ką nors įdiegdami Pi. Ši pora nustato, kuris protokolas apskritai įmanomas. Kliento programėlė netampa kitu klientu vien todėl, kad profilyje atsitiktinai yra pažįstamas laukas.

Bendras slaptažodis profilyje arba pažįstamai atrodantis prievado numeris nepaverčia vieno protokolo kitu. Apsikeitimas arba atitinka tai, ką įgyvendina programėlė, arba nepavyksta etape, kuriame lieka labai mažai ką skaityti. Nėra diagnostikos, kuri paprastais žodžiais pasakytų "neteisingas protokolas". Gaunate skirtąjį laiką, sertifikato klaidą arba tylų pakartojimų ciklą, ir visa tai atrodo kaip serverio problema.

Kai programėlė nustatyta, serverio pasirinkimas susiaurėja, o likęs diegimas turi tikslą.

Ką telefono programėlė iš tikrųjų įgyvendina

Paskelbtas klientų sąrašas aprašo programą, o ne paslaugą. OpenVPN Connect programėlė, skirta Android, tikisi OpenVPN serverio; ji neteikia serverio pusės. Ji taip pat netampa IPsec ar L2TP klientu, kai profilis atrodo panašus.

Šis skirtumas svarbiausias tuomet, kai sekate senesniu vadovu. Receptai, parašyti protokolui, kurio dabartinė programėlė atsisakė, vis tiek bus švariai įdiegti Pi ir vis tiek nepavyks telefone, o tai skaitoma kaip konfigūracijos klaida, o ne kaip protokolo neatitikimas.

Prieš įsipareigodami serverio paketui, patikrinkite dabartinėje programėlės dokumentacijoje, kokius profilio formatus ji importuoja. Penkios minutės skaitymo geriau nei perrinkimas.

Keturių dalių susitarimas

Užsirašykite keturis dalykus ir laikykite juos kartu: telefono operacinę sistemą ir programėlės versiją, serverio įgyvendinimą Pi, autentifikavimo ir pasitikėjimo politiką bei išorinį galinį tašką. Bet kuris iš keturių gali panaikinti kitus tris.

Programėlės atnaujinimas, serverio paketo pakeitimas ar nauja sertifikavimo institucija sugriauna susitarimą, o gedimas iš telefono kiekvieną kartą atrodo vienodai. Būtent užrašyti keturi leidžia nustatyti, kuri dalis pajudėjo.

Prisijungimo duomenys turi atskiras užduotis

Nuspręskite, ar profilis naudoja kliento sertifikatus, vartotojo vardą ir slaptažodį, ar palaikomą derinį, ir suderinkite abu galus. Serverio tapatybė ir patikimos CA medžiaga taip pat turi atitikti tai, ką klientas priims.

CA viešasis sertifikatas ir jos pasirašymo privatusis raktas yra skirtingi objektai. Į telefono profilį patenka tik viešoji dalis. Pasirašymo rakto patalpinimas telefone atiduoda galimybę kurti tapatybes, o tai priešinga tam, kam skirta CA. Su šiuo failu elkitės kaip su jautriausiu viso diegimo objektu.

Naudokite paslaugos palaikomą eksportavimo ir importavimo eigą, o ne surinkite profilį rankomis. Rankomis surinkti profiliai paprastai turi tik darbalaukiui skirtų nurodymų, kurių mobilioji programėlė nepaiso arba atmeta.

Svarbiausia, nepakeiskite sertifikato tikrinimo parinktimi "priimti bet kurį serverį", kad senas pavyzdys prisijungtų. Tai suderinamumo problemą paverčia autentifikavimo apėjimu, ir ji paprastai išlieka iki produkcijos, nes veikia.

Pasiekiamumas yra atskira sutartis

Telefonas turi pasiekti išorinį serverio galinį tašką per tikrąją aukštupio tvarką. Namų maršrutizatoriaus vertimas, filtravimas ir operatoriaus NAT visi yra tarp jų. Dinaminis DNS vardas galiniam taškui suteikia tik stabilų vardą; jis nesukuria įeinančio kelio.

Tada apibrėžkite, ką klientas gali pasiekti prisijungęs: privačius prefiksus ar visą interneto išėjimą, jų perdavimo ir atsakymo kelius, DNS elgseną ir ar IPv6 patenka į aprėptį. Sėkmingas prisijungimas neįrodo nė vieno iš jų.

Priimkite numatytą telefoną ir profilį tiesiogiai, įskaitant patikrinimą, kad neleistinas išteklius lieka nepasiekiamas ir kad atšaukimas tikrai pašalina prieigą. Sėkmė su darbalaukio klientu patvirtina tą darbalaukio klientą, o ne telefoną jūsų rankoje. OpenVPN Connect sąrašas yra konkretus pavyzdys kliento programos, kuri tikisi atitinkamos paslaugos.