Pi VPN serveris: sāciet ar tālruņa lietotni, nevis ar recepti

Lielākā daļa Pi VPN būvju sākas ar servera recepti un beidzas ar tālruni, kas nevar pieslēgties. Secība ir apgriezta. Tālruņa klients ievieš konkrētu protokolu ar konkrētu autentifikācijas apmaiņu, un serverim jāatbilst šai apmaiņai, nevis otrādi. Ja vispirms izvēlaties lietotni, vesela pēcpusdiena atkļūdošanas pārvēršas īsā kontrolsarakstā.

Secība, kas ietaupa pārbūvi

Pierakstiet tālruņa operētājsistēmu un precīzu VPN lietotni, pirms kaut ko instalējat Pi. Šis pāris nosaka, kurš protokols vispār ir iespējams. Klienta lietotne nekļūst par citu klientu tikai tāpēc, ka profilā nejauši ir pazīstams lauks.

Kopīgs noslēpums profilā vai pazīstami izskatošs porta numurs nepārvērš vienu protokolu citā. Apmaiņa vai nu atbilst tam, ko lietotne ievieš, vai arī neizdodas posmā, kas dod ļoti maz lasāma. Nav diagnostikas, kas vienkāršiem vārdiem pateiktu "nepareizs protokols". Jūs saņemat taimautu, sertifikāta kļūdu vai klusu atkārtošanas cilpu, un tas viss izskatās pēc servera problēmas.

Kad lietotne ir fiksēta, servera izvēle sašaurinās, un pārējai būvei ir mērķis.

Ko tālruņa lietotne patiešām ievieš

Publicēts klientu saraksts apraksta lietotni, nevis pakalpojumu. OpenVPN Connect lietotne Android ierīcēm paredz OpenVPN serveri; tā nenodrošina servera pusi. Tā arī nekļūst par IPsec vai L2TP klientu, ja profils izskatās līdzīgs.

Šī atšķirība ir vissvarīgākā, sekojot vecākai pamācībai. Receptes, kas rakstītas protokolam, kuru pašreizējā lietotne ir atstājusi, joprojām tiks tīri instalētas Pi un joprojām neizdosies tālrunī, un tas tiek lasīts kā konfigurācijas kļūda, nevis protokola neatbilstība.

Pirms apņemšanās ar servera pakotni pārbaudiet lietotnes pašreizējā dokumentācijā, kādus profila formātus tā importē. Piecas minūtes lasīšanas ir labākas par pārbūvi.

Četru daļu vienošanās

Pierakstiet četras lietas un turiet tās kopā: tālruņa operētājsistēmu un lietotnes versiju, servera ieviešanu Pi, autentifikācijas un uzticēšanās politiku un ārējo galapunktu. Jebkurš no četriem var atcelt pārējos trīs.

Lietotnes atjauninājums, servera pakotnes maiņa vai jauna sertifikācijas iestāde salauž vienošanos, un kļūme no tālruņa katru reizi izskatās vienādi. Tieši pierakstītie četri ļauj noteikt, kura daļa ir pārvietojusies.

Piekļuves datiem ir atsevišķi uzdevumi

Izlemiet, vai profils izmanto klienta sertifikātus, lietotājvārdu un paroli vai atbalstītu kombināciju, un saskaņojiet abus galus. Servera identitātei un uzticamās CA materiālam arī jāatbilst tam, ko klients pieņems.

CA publiskais sertifikāts un tā parakstīšanas privātā atslēga ir dažādi objekti. Tālruņa profilā ietilpst tikai publiskā daļa. Parakstīšanas atslēgas ievietošana tālrunī atdod spēju veidot identitātes, un tas ir pretējs tam, kam CA paredzēts. Uzlūkojiet šo failu kā jutīgāko objektu visā būvē.

Izmantojiet pakalpojuma atbalstīto eksportēšanas un importēšanas plūsmu, nevis veidojiet profilu ar roku. Ar roku veidoti profili parasti satur tikai galddatoram paredzētas direktīvas, kuras mobilā lietotne ignorē vai noraida.

Pats galvenais, neaizstājiet sertifikāta validāciju ar "pieņemt jebkuru serveri", lai vecs piemērs varētu pieslēgties. Tas pārvērš saderības problēmu autentifikācijas apiešanā, un tā parasti izdzīvo līdz ražošanai, jo darbojas.

Sasniedzamība ir atsevišķs līgums

Tālrunim jāsasniedz servera ārējais galapunkts caur reālo augšupējo izkārtojumu. Mājas maršrutētāja tulkošana, filtrēšana un operatora NAT visi atrodas starp abiem. Dinamisks DNS nosaukums galapunktam dod tikai stabilu nosaukumu; tas neveido ienākošo ceļu.

Pēc tam definējiet, ko klients drīkst sasniegt pēc pieslēgšanās: privātus prefiksus vai pilnu interneta izeju, to pāradresācijas un atbildes ceļus, DNS uzvedību un to, vai IPv6 ir tvērumā. Veiksmīga pieteikšanās nepierāda neko no tā.

Pieņemiet paredzēto tālruni un profilu tieši, tostarp pārbaudi, ka neatļauts resurss paliek nesasniedzams un ka atsaukšana patiešām noņem piekļuvi. Panākumi ar galddatora klientu apstiprina šo galddatora klientu, nevis tālruni jūsu rokā. OpenVPN Connect saraksts ir konkrēts piemērs klienta lietotnei, kas gaida atbilstošu pakalpojumu.