Android OpenVPN: menambah laluan peribadi tanpa root telefon

Anda perlukan satu lagi subnet peribadi — katakan 10.60.0.0/24 — yang belum ada dalam profil. Pada komputer riba anda akan menambah laluan dan teruskan. Pada Android, VPN ialah aplikasi, peranti tun milik aplikasi itu, dan tiada jadual penghalaan untuk anda sunting tanpa root. Laluan itu tetap perlu wujud, tetapi ia masuk ke dalam profil yang dimuatkan klien, dan ia hanya berfungsi jika pihak sebelah lagi bersetuju. Berikut suntingan, sambungan semula, bahagian pelayan dan pemulihan.

Sebelum suntingan: apa yang laluan boleh dan tidak boleh lakukan

Laluan menjawab satu soalan: antara muka mana yang harus membawa trafik ke destini ini. Ia tidak memberi kebenaran apa-apa. Jika pemilik rangkaian belum bersetuju bahawa telefon ini boleh mencapai subnet itu, laluan yang betul menghasilkan konfigurasi yang kelihatan betul dan penurunan senyap di gateway, dan anda akan menghabiskan sejam berikutnya menyunting fail yang salah.

Dapatkan persetujuan itu dahulu, secara bertulis jika rangkaian itu ada pemilik. Kemudian catat apa yang anda tidak lakukan: anda tidak memberikan telefon alamat di dalam LAN itu, tidak menukar pendengar pelayan, dan tidak memilih tapak mengikut nama hos. Itu empat perubahan berbeza dan hanya yang pertama milik anda.

Sunting profil yang benar-benar dimuatkan klien

Bagi klien serasi yang mengimport teks pilihan OpenVPN biasa, tambahannya ialah satu baris:

route 10.60.0.0 255.255.255.0

Tambahkan pada badan profil, berhampiran arahan penghalaan lain, dan biarkan endpoint, sijil, pengendalian kunci dan baris pengesahan pengendali tepat seperti asalnya. Jangan tampal contoh lama yang penuh untuk meminjam satu baris: pemampatan, laluan fail mutlak dan tetapan cipher usang ikut terbawa dan akan memakan satu sesi nyahpepijat yang berasingan.

Langkah yang orang terlepas ialah pemilikan fail. Jika aplikasi mengimport profil, salinan yang digunakannya milik aplikasi itu, dan menyunting fail asal yang dimuat turun tidak mengubah apa-apa. Gunakan editor yang disokong klien, atau import semula fail yang disunting melalui laluan kemas kini, dan sahkan nama profil aktif apabila ada beberapa nama yang serupa. Catat yang mana anda ubah.

Jika profil sudah membawa route-nopull, tiada laluan daripada pelayan dipasang dan setiap prefiks yang diperlukan telefon mesti disenaraikan secara jelas. Itu reka bentuk yang sah, tetapi ia bermakna satu baris yang tertinggal kelihatan sama seperti penolakan pelayan.

Sambung semula dan sahkan pada peranti

Putuskan dahulu, kemudian sambung semula profil khusus yang anda sunting dan bukannya membiarkan aplikasi memulihkan sesi terakhir. Buka log sambungan dan pastikan klien telah menghuraikan baris baharu; arahan laluan yang diabaikan antara muka ialah hasil biasa menyunting salinan yang salah.

Uji destini melalui alamat, bukan nama. Pemeriksaan TCP ke satu port perkhidmatan yang dikenali memberi lebih maklumat daripada ping, kerana banyak hos menjawab ICMP sedangkan port perkhidmatan ditapis. Jika alamat menjawab dan nama tidak, anda ada persoalan penyelesai dan bukan persoalan penghalaan, dan bahagian seterusnya bukan untuk anda.

Dua pemeriksaan skop juga termasuk di sini. VPN setiap aplikasi bermakna laluan alamat boleh wujud sedangkan aplikasi yang anda uji berada di luar set yang disertakan, jadi ujilah dengan aplikasi yang benar-benar di dalam. Dan prefiks IPv4 tidak berkata apa-apa tentang laluan IPv6; jika perkhidmatan itu dual-stack, tambahkan laluan IPv6 yang berkaitan atau jangkakan klien memilih laluan yang anda tidak maksudkan.

Satu keputusan negatif wajar dikenali awal: jika laluan full-tunnel sudah meliputi 0.0.0.0/0, prefiks itu tidak hilang dan menambahnya semula tidak mengubah apa-apa. Liputan berganda tidak membaiki penolakan di pihak pelayan atau balasan yang hilang.

Selesaikan laluan di pelayan

Tiga perkara mesti benar di luar telefon. Gateway perlukan laluan ke destini dan kebenaran untuk memajukan sumber telefon ke arahnya. Sasaran mesti menerima sumber itu dan memulangkan balasan melalui gateway, atau reka bentuk itu perlukan terjemahan yang disengajakan di egress. Pilihan route dalam manual OpenVPN meliputi arahan di pihak klien; pemajuan dan penghalaan balik ialah tetapan berasingan pada mesin berasingan.

Jika destini berada di belakang klien VPN lain dan bukan terus di belakang gateway, pelayan perlukan iroute untuk subnet rakan itu. Arahan itu milik pelayan dan menerangkan klien mana yang memiliki sesuatu prefiks; telefon tidak boleh membekalkannya daripada profilnya sendiri, dan tiada jumlah suntingan di pihak klien yang menggantikannya.

Periksa laluan balik secara jelas. Balasan yang keluar melalui laluan lalai dan bukan terowong menghasilkan simptom separuh terbuka yang klasik: sambungan terbentuk dalam satu arah dan tiada apa yang kembali. Terjemahan sumber di gateway ialah pembaikan yang sah apabila sasaran tidak boleh menghala ke belakang, tetapi ia keputusan dasar dengan akibatnya sendiri.

Pemulihan dan penerimaan

Simpan profil sebelumnya sebelum menyuntingnya. Jika perubahan itu memburukkan keadaan, pulihkan salinan itu melalui laluan import semula yang sama, sambung semula, dan pastikan tingkah laku lama kembali — itu mengesahkan anda menukar apa yang anda sangka tukar. Pemulihan yang tidak memulihkan keadaan lama bermakna aplikasi menyimpan salinan ketiga yang anda belum temui.

Terima perubahan itu apabila empat perkara kekal, diuji dalam urutan ini selepas sambungan semula yang baharu: destini menjawab pada port perkhidmatannya, nama peribadi diselesaikan jika dijangka, HTTPS masih mengesahkan nama hos yang dimaksudkan, dan semuanya masih berfungsi selepas but semula atau peralihan daripada Wi-Fi ke selular. Pemeriksaan terakhir itulah yang menangkap laluan yang hanya wujud sehingga Android membina semula terowong.

• Pastikan pemilik rangkaian membenarkan destini sebelum menyunting apa-apa.
• Letakkan laluan dalam profil yang dimuatkan klien, kemudian import semula dan sambung semula.
• Sahkan melalui port perkhidmatan, dalam skop setiap aplikasi, untuk keluarga alamat yang betul.
• Baiki pemajuan, penghalaan balik dan iroute di pelayan, bukan pada telefon.
• Simpan salinan pemulihan, dan uji semula selepas but semula.