Server VPN fuq il-Pi: ibda mill-app tat-telefon, mhux mir-riċetta

Il-biċċa l-kbira tal-bini tal-VPN fuq il-Pi jibda mir-riċetta tas-server u jintemm b’telefon li ma jistax jgħaqqad. L-ordni hija maqluba. Klijent tat-telefon jimplimenta protokoll speċifiku b’skambju speċifiku ta’ awtentikazzjoni, u s-server irid jaqbel ma’ dak l-iskambju, mhux bil-maqlub. Jekk tiddeċiedi l-app l-ewwel, nofs jum ta’ debug isir lista qasira ta’ verifika.

L-ordni li tiffranka l-bini mill-ġdid

Ikteb is-sistema operattiva tat-telefon u l-app VPN eżatta qabel ma tinstalla xi ħaġa fuq il-Pi. Dan il-par jiddetermina liema protokoll hija saħansitra possibbli. App klijent ma ssirx klijent ieħor għax profil jiġri li fih qasam familjari.

Sigriet kondiviż fi profil, jew numru tal-port li jidher familjari, ma jibdilx protokoll f’ieħor. L-iskambju jew jaqbel ma’ dak li timplimenta l-app, jew ifalli fi stadju li jagħtik ftit ħafna biex taqra. M’hemm l-ebda dijanjosi li tgħid b’kliem sempliċi "protokoll ħażin". Ikollok timeout, żball ta’ ċertifikat jew linja ta’ tentattivi mill-ġdid siekta, u dan kollu jidher bħala problema tas-server.

Ladarba l-app hija stabbilita, l-għażla tas-server tidjieq u l-bqija tal-bini jkollha mira.

X’timplimenta verament l-app tat-telefon

Lista ta’ klijenti ppubblikata tiddeskrivi applikazzjoni, mhux servizz. L-app OpenVPN Connect għall-Android tistenna server OpenVPN; ma tipprovdix in-naħa tas-server. Lanqas issir klijent IPsec jew L2TP meta profil jidher simili.

Dan id-distinzjoni jgħodd l-iktar meta ssegwi gwida eqdem. Riċetti miktuba għal protokoll li l-app attwali telqet xorta se jiġu installati ndaf fuq il-Pi u xorta se jfallu fuq it-telefon, li jaqra bħala żball ta’ konfigurazzjoni u mhux bħala nuqqas ta’ qbil fil-protokoll.

Iċċekkja d-dokumentazzjoni attwali tal-app għall-formati tal-profil li timporta qabel ma timpenja ruħek għal pakkett tas-server. Ħames minuti ta’ qari jiswew aktar minn bini mill-ġdid.

Il-ftehim f’erba’ partijiet

Ikteb erba’ affarijiet u żommhom flimkien: is-sistema operattiva u l-verżjoni tal-app tat-telefon, l-implimentazzjoni tas-server fuq il-Pi, il-politika ta’ awtentikazzjoni u fiduċja, u l-endpoint estern. Kull waħda mill-erbgħa tista’ tinvalida t-tlieta l-oħra.

Aġġornament tal-app, bidla fil-pakkett tas-server jew awtorità ta’ ċertifikati ġdida jaqsmu l-ftehim, u l-falliment jidher identiku mit-telefon kull darba. Huwa l-erbgħa miktuba li jippermettulek tidentifika liema parti mxiet.

Il-kredenzjali għandhom xogħolijiet separati

Iddeċiedi jekk il-profil jużax ċertifikati tal-klijent, isem tal-utent u password, jew kombinazzjoni appoġġjata, u ġġib iż-żewġt itruf jaqblu. L-identità tas-server u l-materjal tal-CA fiduċjuż iridu wkoll jaqblu ma’ dak li l-klijent se jaċċetta.

Iċ-ċertifikat pubbliku tal-CA u l-muftieħ privat tal-firma tiegħu huma oġġetti differenti. Biss il-parti pubblika tappartjeni lil profil tat-telefon. It-tqegħid tal-muftieħ tal-firma fuq it-telefon jagħti l-kapaċità li jinħolqu identitajiet, li hija l-oppost ta’ dak li għalih isservi CA. Ittratta dak il-fajl bħala l-aktar oġġett sensittiv fil-bini kollu.

Uża l-fluss ta’ esportazzjoni u importazzjoni appoġġjat mis-servizz minflok ma tibni profil bl-idejn. Profili mibnija bl-idejn normalment iġorru direttivi biss għad-desktop li l-app mobbli tinjora jew tirrifjuta.

Fuq kollox, tissostitwixxix il-validazzjoni taċ-ċertifikat b’"aċċetta kwalunkwe server" biex eżempju antik jgħaqqad. Dan ibiddel problema ta’ kompatibilità fi qbiż tal-awtentikazzjoni, u s-soltu jibqa’ sal-produzzjoni għax jaħdem.

L-aċċessibilità hija kuntratt separat

It-telefon irid jilħaq l-endpoint estern tas-server permezz tal-arranġament reali upstream. It-traduzzjoni tar-router tad-dar, il-filtrazzjoni u n-NAT tal-operatur kollha jinsabu bejniethom. Isem DNS dinamiku jagħti lill-endpoint biss isem stabbli; ma joħloqx triq li tidħol.

Imbagħad iddefinixxi x’jista’ jilħaq il-klijent ladarba jgħaqqad: prefissi privati jew ħruġ sħiħ tal-internet, it-toroq tat-trasferiment u tat-tweġiba tagħhom, l-imġiba tad-DNS, u jekk IPv6 hix fl-ambitu. Login li jirnexxi ma jipprovax xejn minn dawn.

Aċċetta t-telefon u l-profil maħsubin direttament, inkluża verifika li riżorsa mhux awtorizzata tibqa’ ma tistax tintlaħaq u li r-revoka tassew tneħħi l-aċċess. Is-suċċess b’klijent tad-desktop jivvalida dak il-klijent tad-desktop, mhux it-telefon f’idejk. Il-lista ta’ OpenVPN Connect hija eżempju konkret ta’ app klijent li tistenna servizz li jaqbel.