VPN сервер на Android: root не го прави телефонот достапен
Три одделни проблеми одлучуваат дали телефонот може да служи VPN клиенти: влезната патека, моделот на привилегии и препраќањето. Root го допира само средниот.
Root менува кои мрежни операции процесот смее да ги обиде. Тој не му дава на телефонот јавно достапна адреса, не резервира влезно мапирање кај операторот и не одржува демон жив по рестарт. Ако одлучувате дали Android телефон може да дејствува како VPN сервер, одделете три прашања: може ли предвидениот клиент воопшто да стигне до слушателот, каков модел на привилегии бара имплементацијата на серверот и што треба да се препраќа кога тунелот е кренат.
Кој треба да стигне до телефонот и од каде
Клиент на истиот дозволен LAN и клиент на мобилни податоци тестираат две различни мрежи. Прво решете која е предвидената, бидејќи одговорите не се пренесуваат. На Wi-Fi, небараниот влезен сообраќај обично бара мапирање на горниот рутер и употреблива јавна патека зад него. На мобилната мрежа carrier-grade NAT значи дека влезната IPv4 често е недостапна, што и да дозволува телефонот.
Токму последната точка е онаа до која root не може да допре. Локалниот firewall на телефонот и NAT на операторот се различни системи, а менувањето на првиот нема ефект врз вториот. Приватна адреса на интерфејс, икона за мобилни податоци или слушачки socket не се доказ за достапност. Ако патеката преку операторот сепак нуди глобално рутирачка IPv6, за неа сепак ви треба намерна политика за слушател и firewall; да имате адреса не е исто како да прифаќате врски.
| Client path | What actually decides reachability |
|---|---|
| Same LAN | The phone's listener and its local firewall |
| Wi-Fi, from the internet | A mapping on the upstream router plus a usable public path beyond it |
| Cellular IPv4 | The carrier's NAT, which the handset does not control |
| Cellular IPv6 | Address, listener and firewall policy together |
Служењето и препраќањето се два различни успеха
Завршено VPN ракување докажува дека тунелот постои. Тоа не докажува дека клиентот може да стигне до LAN зад телефонот, ниту дека телефонот може да служи како интернет излез. Тоа се одделни конфигурации изградени на внатрешниот план на адреси, рутите, однесувањето при враќање и тесно ограничената политика за препраќање за задачата што навистина ја сакате.
Начинот на откажување е предвидлив: ракувањето успева, клиентот покажува поврзаност, и ништо не се вчитува. Пред да го дебагирате клиентот, одлучете која од двете улоги ја градите. Далечински пристап до уред на мрежата на телефонот и интернет излез преку целосен тунел бараат различни правила за препраќање, а одобрувањето на двете кога сте сакале една ја проширува изложеноста без да ја додаде бараната можност.
Моделот на привилегии е избор, не root или ништо
Конвенционален OpenVPN демон што користи kernel TUN уред бара соодветни способности, пристап до јазолот на уредот и соработка од безбедносната политика на Android. Root не е сеопфатно изземање од SELinux; привилегиран процес сè уште е ограничен од платформската политика. Затоа бинарник што работи без проблем на Linux сервер може да откаже на телефон без очигледна грешка за дозволи.
Имплементација на порта во кориснички простор може да има сосема друг модел на привилегии, па вообичаеното тврдење дека секој VPN сервер на Android бара root е прешироко. Root ви ја купува можноста да обидите повеќе операции, не гаранцијата дека тие ќе бидат дозволени или дека резултатот е достапен.
Сопствената регистрација на VPN услугата на Android е повторно одделен механизам. Таа на апликацијата ѝ дава управуван клиентски интерфејс со дефиниран животен циклус; тоа не е универзален инсталатор на сервер, а стартувањето демон од терминал не му дава постојано управување, политика по апликација или сопствена патека за опоравување.
Ако сакате излезна точка, сменете ја архитектурата
Кога целта е едноставно далечински интернет излез преку телефонот, а не компатибилност со постоечки OpenVPN профил, подобро одговара поддржан излезен јазол во overlay мрежа. Tailscale документира улога на Android излезен јазол со свои чекори за регистрација, авторизација и избор на клиент.
Замената е вистинска и вреди да се каже отворено: прифаќате друг протокол, друг модел на доверба и зависност од тој профил и координациска услуга. Тоа не прави неизменет OpenVPN клиент да се приклучи на overlay мрежата и не ви дава OpenVPN слушател на јавна адреса.
Што сè уште му треба на распоредувањето
Кој пат и да изберете, оперативните основи одлучуваат дали ќе издржи една недела. Чувајте ги ингеренциите на серверот приватни, издавајте различни идентитети на клиенти и планирајте отповикување пред да ви треба. Одлучете како пристигнуваат ажурирањата, што ја одржува услугата во работа во позадина и како се опоравува по рестарт или промена на мрежата.
Избегнувајте ги кратенките што изгледаат удобно: застарен статичен бинарник, тврдо кодирани имиња на интерфејси и стартна скрипта што ја брише постоечката firewall политика. Потоа прифатете го резултатот само со конкретен тест: овластен далечински клиент стигнува до предвидениот ресурс, забранетите дестинации остануваат недостапни, а уредот сам се враќа по поддржаниот настан од животниот циклус. Root пристапот е една можна состојка во тој резултат и ретко одлучувачка.