Pelayan VPN di Pi: mulakan dengan aplikasi telefon, bukan resipi

Kebanyakan pembinaan VPN di Pi bermula dengan resipi pelayan dan berakhir dengan telefon yang tidak dapat menyambung. Urutannya terbalik. Klien telefon melaksanakan protokol tertentu dengan pertukaran pengesahan tertentu, dan pelayan mesti sepadan dengan pertukaran itu, bukan sebaliknya. Menentukan aplikasi dahulu menjadikan sepanjang petang penyahpepijatan sebagai senarai semak pendek.

Urutan yang menjimatkan pembinaan semula

Catat sistem pengendalian telefon dan aplikasi VPN yang tepat sebelum memasang apa-apa di Pi. Pasangan itu menentukan protokol mana yang mungkin sama sekali. Aplikasi klien tidak menjadi klien lain hanya kerana profil kebetulan mengandungi medan yang biasa.

Rahsia dikongsi dalam profil, atau nombor port yang kelihatan biasa, tidak menukar satu protokol menjadi protokol lain. Pertukaran itu sama ada sepadan dengan apa yang dilaksanakan aplikasi, atau gagal pada peringkat yang memberi anda sangat sedikit untuk dibaca. Tiada diagnostik yang mengatakan "protokol salah" dengan kata-kata mudah. Anda mendapat tamat masa, ralat sijil atau gelung cubaan semula yang senyap, dan semuanya kelihatan seperti masalah pelayan.

Sebaik sahaja aplikasi ditetapkan, pilihan pelayan menyempit dan baki pembinaan mempunyai sasaran.

Apa yang sebenarnya dilaksanakan aplikasi telefon

Senarai klien yang diterbitkan menerangkan aplikasi, bukan perkhidmatan. Aplikasi OpenVPN Connect untuk Android menjangka pelayan OpenVPN; ia tidak menyediakan bahagian pelayan. Ia juga tidak menjadi klien IPsec atau L2TP apabila profil kelihatan serupa.

Perbezaan itu paling penting apabila mengikut panduan lama. Resipi yang ditulis untuk protokol yang telah ditinggalkan aplikasi semasa masih akan dipasang dengan bersih di Pi dan masih gagal di telefon, yang terbaca sebagai ralat konfigurasi dan bukan ketidakpadanan protokol.

Semak dokumentasi semasa aplikasi untuk format profil yang diimportnya sebelum komited kepada pakej pelayan. Lima minit membaca lebih baik daripada pembinaan semula.

Persetujuan empat bahagian

Catat empat perkara dan simpan bersama: sistem pengendalian dan versi aplikasi telefon, pelaksanaan pelayan di Pi, dasar pengesahan dan kepercayaan, serta titik akhir luaran. Mana-mana satu daripada empat boleh membatalkan tiga yang lain.

Peningkatan aplikasi, pertukaran pakej pelayan atau pihak berkuasa sijil baharu memecahkan persetujuan itu, dan kegagalan kelihatan sama dari telefon setiap kali. Empat yang dicatat itulah yang membolehkan anda mengenal pasti bahagian mana yang bergerak.

Kelayakan mempunyai tugas berasingan

Tentukan sama ada profil menggunakan sijil klien, nama pengguna dan kata laluan, atau gabungan yang disokong, dan selaraskan kedua-dua hujung. Identiti pelayan dan bahan CA yang dipercayai juga mesti sepadan dengan apa yang akan diterima klien.

Sijil awam CA dan kunci peribadi tandatangannya ialah objek berbeza. Hanya bahagian awam tergolong dalam profil telefon. Meletakkan kunci tandatangan pada telefon menyerahkan keupayaan mencipta identiti, yang merupakan lawan kepada tujuan CA. Layankan fail itu sebagai objek paling sensitif dalam seluruh pembinaan.

Gunakan aliran eksport dan import yang disokong perkhidmatan dan bukannya memasang profil secara manual. Profil yang dibina secara manual biasanya membawa arahan khusus desktop yang diabaikan atau ditolak oleh aplikasi mudah alih.

Yang paling penting, jangan gantikan pengesahan sijil dengan "terima mana-mana pelayan" untuk membuat contoh lama bersambung. Itu mengubah masalah keserasian menjadi pengelakan pengesahan, dan ia biasanya bertahan sehingga pengeluaran kerana ia berfungsi.

Kebolehcapaian ialah kontrak berasingan

Telefon mesti mencapai titik akhir luaran pelayan melalui susunan hulu yang sebenar. Terjemahan penghala rumah, penapisan dan NAT pengendali semuanya berada di antara keduanya. Nama DNS dinamik hanya memberi titik akhir nama yang stabil; ia tidak mencipta laluan masuk.

Kemudian tentukan apa yang boleh dicapai klien selepas bersambung: awalan peribadi atau jalan keluar internet penuh, laluan penghantaran dan balasannya, tingkah laku DNS, dan sama ada IPv6 dalam skop. Log masuk yang berjaya tidak membuktikan satu pun daripadanya.

Terima telefon dan profil yang dimaksudkan secara langsung, termasuk semakan bahawa sumber tidak dibenarkan kekal tidak boleh dicapai dan pembatalan benar-benar membuang akses. Kejayaan dengan klien desktop mengesahkan klien desktop itu, bukan telefon di tangan anda. Senarai OpenVPN Connect ialah contoh konkrit aplikasi klien yang menjangka perkhidmatan yang sepadan.