Server VPN Android: root ma jagħmilx it-telefon aċċessibbli
Tliet problemi separati jiddeċiedu jekk telefon jistax jaqdi klijenti VPN: it-triq tad-dħul, il-mudell tal-privileġġi u t-trasferiment. Root jmiss biss tan-nofs.
Root ibiddel liema operazzjonijiet tan-netwerk jista' proċess jipprova. Mhux jagħti lit-telefon indirizz aċċessibbli pubblikament, mhux jirriserva mappatura tad-dħul għand l-operatur, u mhux iżomm daemon ħaj wara restart. Jekk qed tiddeċiedi jekk telefon Android jistax jaġixxi bħala server VPN, ifred tliet mistoqsijiet: il-klijent maħsub jista' jasal għand is-semmiegħ xorta waħda, liema mudell ta' privileġġi jeħtieġ l-implimentazzjoni tas-server, u x'għandu jiġi ttrasferit ladarba t-tunnel ikun qiegħed.
Min irid jasal għat-telefon, u minn fejn
Klijent fuq l-istess LAN permess u klijent fuq data mobbli qed jittestjaw żewġ netwerks differenti. Iddeċiedi l-ewwel dak maħsub, għax it-tweġibiet ma jgħaddux minn wieħed għall-ieħor. Fuq Wi-Fi, traffiku tad-dħul mhux mitlub normalment jeħtieġ mappatura fuq ir-router ta' fuq u triq pubblika li tista' tintuża lil hinn minnu. Fuq iċ-ċellulari, NAT fil-livell tal-operatur ifisser li IPv4 tad-dħul spiss mhux disponibbli, tkun xi tkun it-telefon tippermetti.
Dak l-aħħar punt huwa dak li root ma jistax jilħaq. Il-firewall lokali tat-telefon u n-NAT tal-operatur huma sistemi differenti, u li tbiddel l-ewwel m'għandux effett fuq it-tieni. Indirizz tal-interface privat, ikona tad-data mobbli jew socket li qed jisma' mhumiex prova ta' aċċessibbiltà. Jekk it-triq tal-operatur xorta toffri IPv6 li tista' tiġi routed globalment, xorta għandek bżonn politika maħsuba tas-semmiegħ u tal-firewall għaliha; li jkollok indirizz mhuwiex l-istess bħal li tilqa' konnessjonijiet.
| Client path | What actually decides reachability |
|---|---|
| Same LAN | The phone's listener and its local firewall |
| Wi-Fi, from the internet | A mapping on the upstream router plus a usable public path beyond it |
| Cellular IPv4 | The carrier's NAT, which the handset does not control |
| Cellular IPv6 | Address, listener and firewall policy together |
Is-servizz u t-trasferiment huma żewġ suċċessi differenti
Handshake VPN komplut jipprova li t-tunnel jeżisti. Ma jipprovax li l-klijent jista' jasal għal LAN wara t-telefon, u lanqas li t-telefon tista' taġixxi bħala ħruġ tal-internet. Dawk huma konfigurazzjonijiet separati mibnija fuq il-pjan tal-indirizzi interni, ir-rotot, l-imġiba tar-ritorn u politika tat-trasferiment dejqa għall-kompitu li tassew trid.
Il-mod tal-falliment huwa prevedibbli: il-handshake jirnexxi, il-klijent juri konness, u xejn ma jgħabbi. Qabel ma tiddebagga l-klijent, iddeċiedi liema miż-żewġ rwoli qed tibni. Aċċess remot għal apparat fuq in-netwerk tat-telefon u ħruġ tal-internet b'tunnel sħiħ jeħtieġu regoli tat-trasferiment differenti, u li tagħti t-tnejn meta ridt waħda twessa' l-espożizzjoni mingħajr ma żżid il-kapaċità li tlabt.
Il-mudell tal-privileġġi huwa għażla, mhux root jew xejn
Daemon OpenVPN konvenzjonali li juża apparat TUN tal-kernel jeħtieġ il-kapaċitajiet korrispondenti, aċċess għan-nod tal-apparat u kooperazzjoni mill-politika tas-sigurtà ta' Android. Root mhuwiex eżenzjoni sħiħa minn SELinux; proċess privileġġjat xorta huwa ristrett mill-politika tal-pjattaforma. Għalhekk binari li jaħdem tajjeb fuq server Linux jista' jfalli fuq telefon mingħajr żball ċar dwar il-permessi.
Implimentazzjoni ta' gateway fl-ispazju tal-utent tista' jkollha mudell ta' privileġġi kompletament differenti, għalhekk l-affermazzjoni komuni li kull server VPN fuq Android jeħtieġ root hija wisgħa wisq. Dak li root jixtri għalik huwa l-kapaċità li tipprova aktar operazzjonijiet, mhux garanzija li jkunu permessi jew li r-riżultat ikun aċċessibbli.
Ir-reġistrazzjoni tas-servizz VPN ta' Android stess hija għodda oħra separata. Tagħti lill-app interface tal-klijent immexxija b'ċiklu tal-ħajja definit; mhijiex installatur ġenerali tas-server, u li tibda daemon minn terminal ma jagħtihiex ġestjoni kontinwa, politika għal kull app jew toroq tal-irkupru tagħha.
Jekk trid punt ta' ħruġ, ibdel l-arkitettura
Meta l-għan huwa sempliċement ħruġ remot tal-internet permezz tat-telefon u mhux kompatibbiltà ma' profil OpenVPN eżistenti, nod tal-ħruġ appoġġjat f'netwerk overlay huwa d-disinn li jaqbel aħjar. Tailscale tiddokumenta rwol ta' nod tal-ħruġ għal Android bil-passi tagħha tar-reġistrazzjoni, l-awtorizzazzjoni u l-għażla tal-klijent.
L-iskambju huwa reali u jistħoqqlu jingħad ċar: taċċetta protokoll differenti, mudell ta' fiduċja differenti u dipendenza fuq dak il-kont u s-servizz ta' koordinazzjoni. Ma jagħmilx klijent OpenVPN mhux modifikat jingħaqad man-netwerk overlay, u ma jagħtikx semmiegħ OpenVPN fuq indirizz pubbliku.
X'għad għandu bżonn id-deploy
Liema triq tagħżel, il-bażijiet operattivi jiddeċiedu jekk iddumx ġimgħa. Żomm il-kredenzjali tas-server privati, ħruġ identitajiet tal-klijent distinti, u pplana r-revoka qabel ma jkollok bżonha. Iddeċiedi kif jaslu l-aġġornamenti, x'jżomm is-servizz jaħdem fl-isfond u kif jirkupra wara restart jew bidla fin-netwerk.
Evita s-shortcuts li jidhru konvenjenti: binari statiku antikwat, ismijiet tal-interface hardcoded u script tal-bidu li jħassar il-politika tal-firewall eżistenti. Imbagħad aċċetta r-riżultat biss kontra test konkret: klijent remot awtorizzat jasal għar-riżors maħsub, id-destinazzjonijiet projbiti jibqgħu mhux disponibbli, u l-apparat jerġa' lura waħdu wara l-avveniment taċ-ċiklu tal-ħajja appoġġjat. Aċċess root huwa ingredjent possibbli f'dak ir-riżultat, u rari dak deċiżiv.