Android OpenVPN: żżid rotta privata mingħajr ma tagħmel root lit-telefon
Żid rotta waħda fil-profil li Android tassew jgħabbi, imbagħad iċċekkja jekk is-server jippermettihiex. Gwida għall-modifika, għall-konnessjoni mill-ġdid u għal erba' verifiki.
Għandek bżonn subnet privat ieħor — ejja ngħidu 10.60.0.0/24 — li l-profil bħalissa ma jinkludix. Fuq laptop żżid rotta u tkompli. Fuq Android il-VPN hija app, it-tagħmir tun huwa tal-app, u m'hemmx tabella ta' routing li tista' teditja mingħajr root. Ir-rotta xorta trid teżisti, imma hija tidħol fil-profil li jgħabbi l-klijent, u taħdem biss jekk in-naħa l-oħra taqbel. Hawnhekk hemm il-modifika, il-konnessjoni mill-ġdid, in-naħa tas-server u t-treġġigħ lura.
Qabel il-modifika: x'jista' u x'ma jistax jagħmel rotta
Rotta twieġeb mistoqsija waħda: liema interface għandha ġġorr it-traffiku lejn dan id-destinazzjoni. Ma tawtorizza xejn. Jekk is-sid tan-netwerk ma qabilx li dan it-telefon jista' jilħaq dak is-subnet, rotta korretta tipproduċi konfigurazzjoni li tidher korretta u waqgħa siekta fil-gateway, u se tqatta' s-siegħa li jmiss teditja l-fajl ħażin.
L-ewwel ġib dak il-qbil, bil-miktub jekk in-netwerk għandu sid. Imbagħad innota x'qed ma tagħmilx: qed tagħti lit-telefon indirizz ġewwa dak il-LAN, ma tbiddilx il-listener tas-server, u ma tagħżilx sit skont l-isem tal-host. Dawn huma erba' tibdil differenti u biss l-ewwel waħda hi tiegħek.
| The route gives you | The route does not give you |
|---|---|
| A destination prefix associated with the tunnel | Permission to forward at the gateway |
| A path for the phone's own traffic | A return route on the target host |
| A scope for the client's virtual interface | A name in DNS, or HTTPS identity |
Editja l-profil li l-klijent tassew jgħabbi
Għal klijent kompatibbli li jimporta test normali ta' għażliet OpenVPN, iż-żieda hija linja waħda:
route 10.60.0.0 255.255.255.0Żidha mal-ġisem tal-profil, qrib id-direttivi l-oħra tar-routing, u ħalli l-endpoint, iċ-ċertifikati, it-trattament tal-keys u l-linji tal-verifika tal-operatur eżatt kif kienu. Twaħħalx eżempju antik sħiħ biex tissellef linja waħda: kompressjoni, mogħdijiet assoluti tal-fajls u settings tal-cipher skaduti jivvjaġġaw miegħu u se jiswewlek sessjoni separata ta' debug.
Il-pass li n-nies jaqbżu huwa s-sjieda tal-fajl. Jekk l-app importat profil, il-kopja li tuża hija tal-app, u l-editjar tal-oriġinal imniżżel ma jbiddel xejn. Uża l-editur appoġġjat mill-klijent, jew erġa' importa l-fajl editjat permezz tat-triq tal-aġġornament, u kkonferma l-isem tal-profil attiv meta jkun hemm bosta ismijiet simili. Innota liema biddilt.
Jekk il-profil diġà jġorr route-nopull, ebda rotta mis-server ma tiġi installata u kull prefiss li t-telefon jeħtieġ irid jiġi elenkat b'mod espliċitu. Dan huwa disinn leġittimu, imma jfisser li linja mhollija barra tidher eżatt bħal rifjut tas-server.
Qabbad mill-ġdid u ivverifika fuq it-tagħmir
L-ewwel aqta' l-konnessjoni, imbagħad qabbad mill-ġdid dak il-profil speċifiku li editjajt minflok tħalli l-app terġa' tistabbilixxi l-aħħar sessjoni. Iftaħ il-log tal-konnessjoni u kkonferma li l-klijent analizza l-linja l-ġdida; direttiva tar-routing li l-interface tinjora hija riżultat komuni li teditja l-kopja ħażina.
Ittestja d-destinazzjoni bl-indirizz, mhux bl-isem. Verifika TCP fuq port tas-servizz magħruf tagħti aktar informazzjoni minn ping, għax ħafna hosts iwieġbu l-ICMP waqt li l-port tas-servizz ikun filtrat. Jekk l-indirizz iwieġeb u isem ma jwieġibx, għandek mistoqsija ta' resolver u mhux ta' routing, u s-sezzjoni li jmiss mhijiex għalik.
Hawnhekk jaqgħu wkoll żewġ verifiki tal-ambitu. VPN għal kull app ifisser li rotta tal-indirizz tista' tkun preżenti waqt li l-app li qed tittestja biha tkun barra mis-sett inkluż, għalhekk ittestja b'app li tassew tinsab ġewwa. U prefiss IPv4 ma jgħid xejn dwar it-triq IPv6; jekk is-servizz huwa dual-stack, żid ir-rotta IPv6 korrispondenti jew stenna li l-klijent jippreferi triq li ma kontx qed taħseb għaliha.
Riżultat negattiv wieħed jistħoqqlu jiġi rikonoxxut kmieni: jekk rotta full-tunnel diġà tkopri 0.0.0.0/0, il-prefiss mhuwiex nieqes u żżidha mill-ġdid ma jbiddel xejn. Kopertura doppja ma ssewwix rifjut min-naħa tas-server jew tweġiba nieqsa.
Temm it-triq fuq is-server
Tliet affarijiet iridu jkunu veri lil hinn mit-telefon. Il-gateway jeħtieġ rotta lejn id-destinazzjoni u permess biex jibgħat is-sors tat-telefon lejha. Il-mira trid tilqa' dak is-sors u tirritorna t-tweġibiet permezz tal-gateway, inkella d-disinn jeħtieġ traduzzjoni apposta fil-ħruġ. L-għażla route tal-manwal OpenVPN tkopri d-direttiva fuq in-naħa tal-klijent; it-tbgħid u r-routing tar-ritorn huma settings separati fuq magni separati.
Jekk id-destinazzjoni tinsab wara klijent VPN ieħor u mhux direttament wara l-gateway, is-server jeħtieġ iroute għas-subnet ta' dak il-peer. Dik id-direttiva hija tas-server u tiddeskrivi liema klijent għandu prefiss; telefon ma jistax jipprovdiha mill-profil tiegħu stess, u ebda ammont ta' editjar fuq in-naħa tal-klijent ma jissostitwiha.
Ivverifika t-triq tar-ritorn b'mod espliċitu. Tweġiba li toħroġ mir-rotta default minflok mill-mina tipproduċi s-sintomu klassiku tan-nofs miftuħ: il-konnessjoni tiġi stabbilita f'direzzjoni waħda u xejn ma jerġa' lura. It-traduzzjoni tas-sors fuq il-gateway hija tiswija leġittima meta l-mira ma tkunx tista' tirrotta lura, imma hija deċiżjoni ta' politika bil-konsegwenzi tagħha.
Treġġigħ lura u aċċettazzjoni
Ħares il-profil preċedenti qabel teditjah. Jekk il-bidla tagħmel ħażin, reġġa' lura dik il-kopja mill-istess triq tal-importazzjoni mill-ġdid, qabbad mill-ġdid, u kkonferma li l-imġiba l-antika terġa' lura — dan jikkonferma li biddilt dak li ħsibt li biddilt. Treġġigħ lura li ma jerġax iġib l-istat antik ifisser li l-app qed iżżomm it-tielet kopja li ma sibtx.
Aċċetta l-bidla meta erba' affarijiet ikunu veri, ittestjati b'dan l-ordni wara konnessjoni mill-ġdid ġdida: id-destinazzjoni twieġeb fuq il-port tas-servizz tagħha, l-isem privat jiġi riżolt jekk ikun mistenni, HTTPS xorta jivvalida l-isem tal-host maħsub, u kollox xorta jaħdem wara riavviu jew wara bidla minn Wi-Fi għal ċellulari. L-aħħar verifika hija dik li taqbad rotta li teżisti biss sakemm Android jerġa' jistabbilixxi l-mina.
- Ikkonferma li s-sid tan-netwerk jippermetti d-destinazzjoni qabel teditja xejn.
- Qiegħed ir-rotta fil-profil li l-klijent jgħabbi, imbagħad erġa' importa u qabbad mill-ġdid.
- Ivverifika permezz tal-port tas-servizz, fl-ambitu għal kull app, għall-familja tal-indirizzi t-tajba.
- Sejjaħ it-tbgħid, ir-routing tar-ritorn u l-iroute fuq is-server, mhux fuq it-telefon.
- Ħares kopja għat-treġġigħ lura, u erġa' ittestja wara riavviu.