Pi VPN сервер: почнете од апликацијата на телефонот, а не од рецептот

Повеќето Pi VPN поставки почнуваат со рецептот за серверот и завршуваат со телефон што не може да се поврзе. Редоследот е обратен. Клиентот на телефонот имплементира определен протокол со определена размена за автентикација, а серверот мора да одговара на таа размена, а не обратно. Ако прво ја изберете апликацијата, цело попладне отстранување грешки се претвора во кратка листа за проверка.

Редоследот што ја штеди преработката

Запишете го оперативниот систем на телефонот и точната VPN апликација пред да инсталирате нешто на Pi. Овој пар одредува кој протокол е воопшто можен. Клиентската апликација не станува друг клиент само затоа што профилот случајно содржи познато поле.

Заедничка тајна во профилот или познат број на порта не претвора еден протокол во друг. Размената или одговара на она што апликацијата го имплементира, или пропаѓа во фаза што ви дава многу малку за читање. Нема дијагностика што со едноставни зборови вели "погрешен протокол". Добивате истек на време, грешка со сертификат или тивок циклус на повторување, и сето тоа изгледа како проблем со серверот.

Кога апликацијата е фиксирана, изборот на сервер се стеснува и остатокот од поставката има цел.

Што всушност имплементира апликацијата на телефонот

Објавен список на клиенти опишува апликација, а не услуга. Апликацијата OpenVPN Connect за Android очекува OpenVPN сервер; таа не ја обезбедува серверската страна. Таа исто така не станува IPsec или L2TP клиент кога профилот изгледа слично.

Оваа разлика е најважна кога следите постар водич. Рецептите напишани за протокол што тековната апликација го напуштила сѐ уште ќе се инсталираат чисто на Pi и сѐ уште ќе пропаѓаат на телефонот, што се чита како грешка во конфигурацијата, а не како неусогласеност на протоколот.

Проверете во тековната документација на апликацијата кои формати на профил ги увезува пред да се обврзете на серверски пакет. Пет минути читање се подобри од преработка.

Четириделниот договор

Запишете четири работи и држете ги заедно: оперативниот систем и верзијата на апликацијата на телефонот, имплементацијата на серверот на Pi, политиката за автентикација и доверба и надворешната крајна точка. Секоја од четирите може да ги поништи другите три.

Надградба на апликација, промена на серверски пакет или ново тело за издавање сертификати го кршат договорот, а неуспехот од телефонот изгледа исто секој пат. Токму запишаните четири ви овозможуваат да утврдите кој дел се поместил.

Податоците за најава имаат одделни задачи

Одлучете дали профилот користи клиентски сертификати, корисничко име и лозинка или поддржана комбинација, и усогласете ги двата краја. Идентитетот на серверот и материјалот на доверливиот CA исто така мора да одговараат на она што клиентот ќе го прифати.

Јавниот сертификат на CA и неговиот приватен клуч за потпишување се различни објекти. Во профилот на телефонот припаѓа само јавниот дел. Ставањето на клучот за потпишување на телефон ја дава можноста за создавање идентитети, што е спротивно на целта на CA. Третирајте ја таа датотека како најчувствителен објект во целата поставка.

Користете го поддржаниот тек на извоз и увоз на услугата наместо рачно составување профил. Рачно изградените профили обично носат директиви само за десктоп што мобилната апликација ги игнорира или одбива.

Над сѐ, не ја заменувајте проверката на сертификатот со "прифати кој било сервер" за да поврзете стар пример. Тоа претвора проблем со компатибилност во заобиколување на автентикацијата и обично преживува до продукција затоа што функционира.

Достапноста е одделен договор

Телефонот мора да стигне до надворешната крајна точка на серверот преку вистинскиот распоред нагоре. Преводот на домашниот рутер, филтрирањето и NAT на операторот стојат меѓу нив. Динамичното DNS име на крајната точка ѝ дава само стабилно име; тоа не создава влезна патека.

Потоа определете што клиентот смее да достигне по поврзувањето: приватни префикси или целосен излез на интернет, нивните патеки за проследување и одговор, однесувањето на DNS и дали IPv6 е во опфатот. Успешната најава не докажува ништо од тоа.

Прифатете го предвидениот телефон и профил директно, вклучително проверка дека неовластен ресурс останува недостапен и дека отповикувањето навистина го отстранува пристапот. Успехот со десктоп клиент го потврдува тој десктоп клиент, а не телефонот во вашата рака. Списокот на OpenVPN Connect е конкретен пример за клиентска апликација што очекува соодветна услуга.