Android OpenVPN: privāta maršruta pievienošana, telefonu nesakņojot

Jums vajadzīgs vēl viens privāts apakštīkls — teiksim 10.60.0.0/24 — kura profilā šobrīd nav. Portatīvajā datorā jūs pievienotu maršrutu un turpinātu. Android vidē VPN ir lietotne, tun ierīce pieder šai lietotnei, un bez root nav maršrutēšanas tabulas, ko rediģēt. Maršrutam tomēr jābūt, taču tas nonāk profilā, ko ielādē klients, un darbojas tikai tad, ja otra puse piekrīt. Lūk, rediģēšana, atkārtota savienošana, servera puse un atritināšana.

Pirms rediģēšanas: ko maršruts var un ko nevar

Maršruts atbild uz vienu jautājumu: kurai saskarnei jānes trafiks uz šo galamērķi. Tas neko neautorizē. Ja tīkla īpašnieks nav piekritis, ka šis tālrunis var sasniegt šo apakštīklu, pareizs maršruts rada pareizi izskatītu konfigurāciju un klusu nomešanu pie vārtejas, un nākamo stundu pavadīsiet, rediģējot nepareizo failu.

Vispirms iegūstiet šo piekrišanu, rakstiski, ja tīklam ir īpašnieks. Pēc tam pierakstiet, ko jūs nedarāt: jūs nepiešķirat tālrunim adresi šajā LAN, nemaināt servera klausītāju un neizvēlaties vietni pēc resursdatora nosaukuma. Tie ir četri dažādi grozījumi, un tikai pirmais ir jūsu.

Rediģējiet profilu, ko klients patiešām ielādē

Saderīgam klientam, kas importē parastu OpenVPN opciju tekstu, papildinājums ir viena rinda:

route 10.60.0.0 255.255.255.0

Pievienojiet to profila pamattekstam, blakus citām maršrutēšanas direktīvām, un atstājiet operatora endpoint, sertifikātus, atslēgu apstrādi un verifikācijas rindas tieši tādas, kādas tās bija. Neielīmējiet visu veco piemēru, lai aizņemtos vienu rindu: saspiešana, absolūtie failu ceļi un novecojuši cipher iestatījumi ceļo līdzi un izmaksās atsevišķu atkļūdošanas sesiju.

Solis, ko cilvēki izlaiž, ir faila īpašumtiesības. Ja lietotne importēja profilu, tās izmantotā kopija pieder lietotnei, un lejupielādētā oriģināla rediģēšana neko nemaina. Izmantojiet klienta atbalstīto redaktoru vai atkārtoti importējiet rediģēto failu pa atjaunināšanas ceļu, un apstipriniet aktīvā profila nosaukumu, ja ir vairāki līdzīgi nosaukumi. Pierakstiet, kuru mainījāt.

Ja profilā jau ir route-nopull, neviens maršruts no servera netiek instalēts un katrs prefikss, kas tālrunim vajadzīgs, ir skaidri jāuzskaita. Tas ir likumīgs risinājums, bet nozīmē, ka izlaista rinda izskatās tieši tāpat kā servera atteikums.

Savienojieties no jauna un pārbaudiet ierīcē

Vispirms atvienojieties, pēc tam atkārtoti pievienojieties tieši tam profilam, kuru rediģējāt, nevis ļaujiet lietotnei atjaunot pēdējo sesiju. Atveriet savienojuma žurnālu un apstipriniet, ka klients ir parsējis jauno rindu; maršrutēšanas direktīva, ko saskarne ignorē, ir biežs nepareizās kopijas rediģēšanas rezultāts.

Pārbaudiet galamērķi pēc adreses, nevis pēc nosaukuma. TCP pārbaude uz vienu zināmu pakalpojuma portu sniedz vairāk informācijas nekā ping, jo daudzi resursdatori atbild uz ICMP, kamēr pakalpojuma ports ir filtrēts. Ja adrese atbild un nosaukums ne, jums ir risinātāja, nevis maršrutēšanas jautājums, un nākamā sadaļa nav jums.

Šeit pieder arī divas darbības jomas pārbaudes. VPN katrai lietotnei nozīmē, ka adreses maršruts var būt, kamēr lietotne, ar ko testējat, atrodas ārpus iekļautās kopas, tāpēc testējiet ar lietotni, kas patiešām ir iekšā. Un IPv4 prefikss neko neizsaka par IPv6 ceļu; ja pakalpojums ir dual-stack, pievienojiet atbilstošo IPv6 maršrutu vai gaidiet, ka klients izvēlēsies ceļu, ko neplānojāt.

Vienu negatīvu rezultātu ir vērts atpazīt agri: ja full-tunnel maršruts jau sedz 0.0.0.0/0, prefikss nav pazudis un tā pievienošana vēlreiz neko nemaina. Divkāršs pārklājums nelabo servera puses atteikumu vai trūkstošu atbildi.

Pabeidziet ceļu serverī

Trim lietām jābūt patiesām ārpus tālruņa. Vārtejai vajag maršrutu uz galamērķi un atļauju pārsūtīt tālruņa avotu uz to. Mērķim jāpieņem šis avots un jāatgriež atbildes caur vārteju, citādi risinājumam vajag apzinātu tulkojumu izejā. OpenVPN rokasgrāmatas route opcija aptver klienta puses direktīvu; pārsūtīšana un atgriešanās maršrutēšana ir atsevišķi iestatījumi atsevišķās mašīnās.

Ja galamērķis atrodas aiz cita VPN klienta, nevis tieši aiz vārtejas, serverim vajag iroute šī partnera apakštīklam. Šī direktīva pieder serverim un apraksta, kuram klientam pieder prefikss; tālrunis to nevar nodrošināt no sava profila, un nekāds klienta puses rediģējums to neaizstāj.

Skaidri pārbaudiet atgriešanās ceļu. Atbilde, kas iziet pa noklusējuma maršrutu, nevis pa tuneli, rada klasisko pusatvērtā savienojuma simptomu: savienojums tiek izveidots vienā virzienā un nekas neatgriežas. Avota tulkošana vārtejā ir likumīgs labojums, ja mērķis nevar maršrutēt atpakaļ, bet tas ir politikas lēmums ar savām sekām.

Atritināšana un pieņemšana

Saglabājiet iepriekšējo profilu pirms rediģēšanas. Ja izmaiņa pasliktina situāciju, atjaunojiet šo kopiju pa to pašu atkārtotas importēšanas ceļu, pievienojieties no jauna un apstipriniet, ka vecā uzvedība atgriežas — tas apstiprina, ka mainījāt to, ko domājāt mainām. Atritināšana, kas neatjauno veco stāvokli, nozīmē, ka lietotnei ir trešā kopija, kuru neesat atradis.

Pieņemiet izmaiņu, kad pastāv četras lietas, pārbaudītas šajā secībā pēc svaigas atkārtotas savienošanas: galamērķis atbild savā pakalpojuma portā, privātais nosaukums atrisinās, ja to gaida, HTTPS joprojām validē paredzēto resursdatora nosaukumu, un viss joprojām darbojas pēc pārstartēšanas vai pārejas no Wi-Fi uz mobilo tīklu. Pēdējā pārbaude ir tā, kas noķer maršrutu, kurš pastāv tikai līdz brīdim, kad Android atjauno tuneli.

• Pirms kaut ko rediģējat, apstipriniet, ka tīkla īpašnieks atļauj galamērķi.
• Ievietojiet maršrutu profilā, ko ielādē klients, pēc tam importējiet no jauna un savienojieties.
• Pārbaudiet pa pakalpojuma portu, lietotnes darbības jomas ietvaros, pareizajai adrešu saimei.
• Labojiet pārsūtīšanu, atgriešanās maršrutēšanu un iroute serverī, nevis tālrunī.
• Saglabājiet atritināšanas kopiju un pēc pārstartēšanas pārbaudiet vēlreiz.