Android OpenVPN: утсаа root хийхгүйгээр хувийн маршрут нэмэх

Android үнэхээр ачаалдаг профайл дотор нэг маршрут нэмээд, сервер зөвшөөрч байгаа эсэхийг шалгана. Засвар, дахин холбогдох, дөрвөн шалгалтын заавар.

Танд профайлд одоо байхгүй байгаа өөр нэг хувийн дэд сүлжээ хэрэгтэй — жишээ нь 10.60.0.0/24. Зөөврийн компьютер дээр та маршрут нэмээд үргэлжлүүлэх байсан. Android дээр VPN нь апп, tun төхөөрөмж тэр аппад харьяалагдана, rootгүйгээр засах чиглүүлэлтийн хүснэгт байхгүй. Маршрут байх ёстой ч, энэ нь клиентийн ачаалдаг профайл дотор ордог бөгөөд нөгөө тал зөвшөөрсөн үед л ажиллана. Энд засвар, дахин холболт, серверийн тал, буцаалт байна.

Засварын өмнө: маршрут юу хийж чадах, юу чадахгүй вэ

Маршрут нэг асуултад хариулна: энэ очих газар руу трафикийг аль интерфейс зөөх ёстой вэ. Тэр юуг ч зөвшөөрдөггүй. Хэрэв сүлжээний эзэн энэ утас тэр дэд сүлжээнд хүрч болно гэдгийг зөвшөөрөөгүй бол зөв маршрут зөв харагдах тохиргоо ба гарц дээр чимээгүй уналт үүсгэж, дараагийн цагийг буруу файл засахад өнгөрүүлнэ.

Эхлээд тэр зөвшөөрлийг ав, сүлжээнд эзэн байвал бичгээр. Дараа нь юу хийхгүй байгаагаа тэмдэглэ: утсанд тэр LAN доторх хаяг өгөхгүй, серверийн сонсогчийг өөрчлөхгүй, хост нэрээр сайт сонгохгүй. Эдгээр нь дөрвөн өөр өөрчлөлт бөгөөд зөвхөн эхнийх нь таных.

The route gives youThe route does not give you
A destination prefix associated with the tunnelPermission to forward at the gateway
A path for the phone's own trafficA return route on the target host
A scope for the client's virtual interfaceA name in DNS, or HTTPS identity

Клиент үнэхээр ачаалдаг профайлыг засна уу

Энгийн OpenVPN сонголтын текстийг импортолдог нийцтэй клиентэд нэмэлт нь нэг мөр:

route 10.60.0.0 255.255.255.0

Үүнийг профайлын үндсэн хэсэгт, бусад чиглүүлэлтийн зааварлагийн ойролцоо нэмээд, операторын endpoint, гэрчилгээ, түлхүүрийн зохицуулалт, баталгаажуулалтын мөрүүдийг яг байсан хэвээр нь үлдээ. Нэг мөр зээлэхийн тулд бүхэл хуучин жишээг нааж болохгүй: шахах, үнэмлэхүй файлын зам, хуучирсан cipher тохиргоо түүнтэй хамт ирж, тусдаа алдаа засах сесс зарцуулна.

Хүмүүсийн алддаг алхам бол файлын эзэмшил. Хэрэв апп профайл импортолсон бол түүний ашигладаг хуулбар нь аппынх бөгөөд татсан эхийг засах нь юу ч өөрчлөхгүй. Клиентийн дэмждэг засварлагчийг ашигла, эсвэл зассан файлыг шинэчлэлийн замаар дахин импортолж, ижил төстэй нэр хэд хэд байвал идэвхтэй профайлын нэрийг баталгаажуул. Алийг нь өөрчилснөө тэмдэглэ.

Хэрэв профайлд аль хэдийн route-nopull байвал серверээс нэг ч маршрут суудаггүй бөгөөд утсанд хэрэгтэй бүх префиксийг тодорхой жагсаах ёстой. Энэ нь хууль ёсны загвар боловч орхигдсон мөр серверийн татгалзалтай яг адилхан харагдана гэсэн үг.

Дахин холбогдоод төхөөрөмж дээр шалгана уу

Эхлээд салга, дараа нь аппд сүүлийн сессийг сэргээхийг зөвшөөрөхгүйгээр өөрчилсөн тэр профайлд дахин холбогд. Холболтын логыг нээж клиент шинэ мөрийг задлан уншсаныг баталгаажуул; интерфейс үл тоомсорлодог чиглүүлэлтийн заавар нь буруу хуулбарыг засварын нийтлэг үр дүн.

Очих газрыг нэрээр биш хаягаар турш. Мэдэгдэж буй үйлчилгээний порт руу TCP шалгалт ping-ээс илүү мэдээлэл өгнө, учир нь олон хост ICMP-д хариулдаг ч үйлчилгээний порт шүүгдсэн байдаг. Хаяг хариулж нэр хариулахгүй бол энэ нь чиглүүлэлтийн бус, шийдэгчийн асуудал бөгөөд дараагийн хэсэг танд биш.

Энд хоёр хүрээний шалгалт ч хамаарна. Апп тус бүрийн VPN гэдэг нь таны туршиж буй апп оруулсан олонлогын гадна байхад хаягийн маршрут байж болно гэсэн үг тул үнэхээр дотор байгаа аппаар турш. Мөн IPv4 префикс IPv6 замын талаар юу ч хэлэхгүй; үйлчилгээ dual-stack бол харгалзах IPv6 маршрутыг нэм, эсвэл клиент таны бодоогүй замыг сонгоно гэж бод.

Нэг сөрөг үр дүнг эрт таних нь зүйтэй: хэрэв full-tunnel маршрут аль хэдийн 0.0.0.0/0-г хамарч байвал префикс дутаагүй бөгөөд дахин нэмэх нь юу ч өөрчлөхгүй. Давхар хамрах хүрээ нь серверийн талын татгалзал эсвэл дутуу хариултыг засдаггүй.

Замыг сервер дээр дуусгана уу

Утаснаас гадна гурван зүйл үнэн байх ёстой. Гарцад очих газар руу маршрут болон утасны эх сурвалжийг тийш нь дамжуулах зөвшөөрөл хэрэгтэй. Зорилго тэр эх сурвалжийг хүлээж аваад хариултыг гарцаар буцаах ёстой, эс бөгөөс загварт гарах хэсэгт зориудын орчуулга хэрэгтэй. OpenVPN гарын авлагын route сонголт клиентийн талын зааврыг хамардаг; дамжуулалт ба буцах чиглүүлэлт нь тусдаа машинууд дээрх тусдаа тохиргоо.

Хэрэв очих газар гарцын шууд ард биш, өөр VPN клиентийн ард байвал серверт тэр түншийн дэд сүлжээнд iroute хэрэгтэй. Тэр заавар нь серверт харьяалагдах бөгөөд аль клиент префикст эзэмшилтэйг тодорхойлно; утас үүнийг өөрийн профайлаас өгч чадахгүй бөгөөд клиентийн талын ямар ч засвар түүнийг орлохгүй.

Буцах замыг тодорхой шалга. Туннелийн оронд анхдагч маршрутаар гарсан хариулт нь сонгодог хагас нээлттэй шинжийг үүсгэдэг: холболт нэг чиглэлд тогтож, юу ч буцаж ирэхгүй. Зорилго буцаж чиглүүлж чадахгүй үед гарц дээрх эх сурвалжийн орчуулга хууль ёсны засвар боловч энэ нь өөрийн үр дагавартай бодлогын шийдвэр.

Буцаалт ба хүлээн авалт

Засварын өмнө өмнөх профайлыг хадгал. Хэрэв өөрчлөлт байдлыг улам дордуулбал тэр хуулбарыг ижил дахин импортолох замаар сэргээж, дахин холбогдоод, хуучин зан төлөв буцаж ирснийг баталгаажуул — энэ нь өөрчилсөн гэж бодсон зүйлээ үнэхээр өөрчилснийг батална. Хуучин төлвийг сэргээдэггүй буцаалт нь апп таны олоогүй гурав дахь хуулбартай гэсэн үг.

Дөрвөн зүйл биелбэл өөрчлөлтийг хүлээж ав, шинэ холболтын дараа энэ дарааллаар шалга: очих газар өөрийн үйлчилгээний порт дээр хариулна, хүлээж байгаа бол хувийн нэр шийдэгдэнэ, HTTPS одоо ч зориудын хост нэрийг баталгаажуулна, дахин ачаалах эсвэл Wi-Fi-аас үүрэн сүлжээнд шилжсэний дараа ч бүгд ажиллана. Сүүлийн шалгалт нь Android туннелийг дахин тогтоох хүртэл л оршиж байдаг маршрутыг барьдаг.

  • Ямар нэгэн засвар хийхийн өмнө сүлжээний эзэн очих газрыг зөвшөөрч байгааг батал.
  • Маршрутыг клиентийн ачаалдаг профайлд тавь, дараа нь дахин импортолж, дахин холбогд.
  • Зөв хаягийн бүлэгт зориулж, апп тус бүрийн хүрээний дотор, үйлчилгээний портоор шалга.
  • Дамжуулалт, буцах чиглүүлэлт, iroute-г сервер дээр зас, утсан дээр биш.
  • Буцаалтын хуулбар хадгалаад, дахин ачаалсны дараа дахин турш.

Холбоотой нийтлэлүүд