Pelayan VPN Android: root tidak menjadikan telefon boleh dicapai

root mengubah operasi rangkaian yang boleh dicuba oleh sesuatu proses. Ia tidak memberi telefon alamat yang boleh dicapai secara awam, tidak menempah pemetaan masuk di pengendali, dan tidak mengekalkan daemon hidup selepas but semula. Jika anda memutuskan sama ada telefon Android boleh bertindak sebagai pelayan VPN, pisahkan tiga soalan: bolehkah klien yang dimaksudkan sampai ke pendengar, model keistimewaan apa yang diperlukan oleh pelaksanaan pelayan, dan apa yang perlu dihantar selepas terowong berdiri.

Siapa yang perlu sampai ke telefon, dan dari mana

Klien pada LAN yang sama dan dibenarkan dan klien pada data mudah alih menguji dua rangkaian berbeza. Tetapkan dahulu yang dimaksudkan, kerana jawapannya tidak berpindah. Pada Wi-Fi, trafik masuk yang tidak diminta biasanya memerlukan pemetaan pada penghala huluan dan laluan awam yang boleh digunakan di luarnya. Pada selular, NAT peringkat pengendali bermakna IPv4 masuk selalunya tidak tersedia, apa pun yang dibenarkan telefon.

Titik terakhir itulah yang root tidak dapat sentuh. Firewall tempatan telefon dan NAT pengendali ialah sistem berbeza, dan mengubah yang pertama tidak memberi kesan pada yang kedua. Alamat antara muka peribadi, ikon data mudah alih atau soket yang mendengar bukan bukti kebolehcapaian. Jika laluan pengendali memang menawarkan IPv6 yang boleh dihalakan secara global, anda masih memerlukan dasar pendengar dan firewall yang disengajakan untuknya; memiliki alamat bukanlah sama dengan menerima sambungan.

Melayani dan menghantar ialah dua kejayaan berbeza

Jabat tangan VPN yang selesai membuktikan terowong wujud. Ia tidak membuktikan klien boleh sampai ke LAN di belakang telefon, dan tidak membuktikan telefon boleh bertindak sebagai jalan keluar internet. Itu konfigurasi berasingan yang dibina atas pelan alamat dalaman, laluan, tingkah laku pulangan dan dasar penghantaran yang sempit untuk tugas yang anda benar-benar mahu.

Mod kegagalan boleh dijangka: jabat tangan berjaya, klien menunjukkan bersambung, dan tiada apa yang dimuatkan. Sebelum menyahpepijat klien, tentukan peranan mana antara dua yang anda bina. Akses jauh ke peranti pada rangkaian telefon dan jalan keluar internet melalui terowong penuh memerlukan peraturan penghantaran berbeza, dan memberikan kedua-duanya apabila anda mahu satu meluaskan pendedahan tanpa menambah keupayaan yang anda minta.

Model keistimewaan ialah pilihan, bukan root atau tiada

Daemon OpenVPN lazim yang menggunakan peranti TUN kernel memerlukan keupayaan berkaitan, akses ke nod peranti dan kerjasama dasar keselamatan Android. root bukan pengecualian menyeluruh daripada SELinux; proses istimewa masih terikat pada dasar platform. Itulah sebabnya binari yang berjalan lancar pada pelayan Linux boleh gagal pada telefon tanpa ralat jelas tentang kebenaran.

Pelaksanaan getaway dalam ruang pengguna boleh mempunyai model keistimewaan yang sama sekali berbeza, jadi dakwaan umum bahawa setiap pelayan VPN di Android memerlukan root terlalu luas. Apa yang root beli untuk anda ialah keupayaan mencuba lebih banyak operasi, bukan jaminan ia dibenarkan atau hasilnya boleh dicapai.

Pendaftaran perkhidmatan VPN Android sendiri ialah satu lagi mekanisme berasingan. Ia memberi aplikasi antara muka klien terurus dengan kitaran hayat yang ditetapkan; ia bukan pemasang pelayan umum, dan memulakan daemon dari terminal tidak memberinya pengurusan sentiasa hidup, dasar setiap aplikasi atau laluan pemulihan sendiri.

Jika anda mahu titik keluar, ubah seni bina

Apabila matlamatnya hanyalah jalan keluar internet jauh melalui telefon dan bukan keserasian dengan profil OpenVPN sedia ada, nod keluar yang disokong dalam rangkaian tindanan ialah reka bentuk yang lebih sesuai. Tailscale mendokumentasikan peranan nod keluar Android dengan langkah pendaftaran, kebenaran dan pemilihan kliennya sendiri.

Pertukaran itu nyata dan wajar dinyatakan terus: anda menerima protokol berbeza, model kepercayaan berbeza dan kebergantungan pada akaun serta perkhidmatan penyelarasan itu. Ia tidak membuat klien OpenVPN yang tidak diubah menyertai rangkaian tindanan, dan ia tidak memberi anda pendengar OpenVPN pada alamat awam.

Apa lagi yang diperlukan oleh penggunaan

Laluan mana pun yang anda pilih, asas operasi menentukan sama ada ia bertahan seminggu. Simpan kelayakan pelayan secara peribadi, keluarkan identiti klien yang berbeza, dan rancang pembatalan sebelum anda memerlukannya. Tentukan bagaimana kemas kini tiba, apa yang mengekalkan perkhidmatan berjalan di latar belakang dan bagaimana ia pulih selepas but semula atau perubahan rangkaian.

Elakkan jalan pintas yang kelihatan mudah: binari statik usang, nama antara muka yang dikodkan keras dan skrip permulaan yang mengosongkan dasar firewall sedia ada. Kemudian terima hasilnya hanya terhadap ujian konkrit: klien jauh yang diberi kuasa sampai ke sumber yang dimaksudkan, destinasi larangan kekal tidak tersedia, dan peranti kembali sendiri selepas peristiwa kitaran hayat yang disokong. Akses root ialah satu bahan yang mungkin dalam hasil itu, dan jarang yang menentukan.