د Android VPN سرور: root تلیفون ته د رسېدو وړ نه جوړوي
درې جلا ستونزې پرېکړه کوي چې تلیفون کولی شي VPN پیریدونکو ته خدمت وکړي که نه: د ننوتلو لاره، د امتیازاتو ماډل او لیږدول. root یوازې منځني ته لاس ورکوي.
root بدلوي چې یو پروسې ته کومې شبکوي عملیات هڅه کول اجازه لري. دا تلیفون ته عامه رسېدونکی پته نه ورکوي، د آپریټر سره دننوتونکی نقشه نه ساتي، او د بیا پیل وروسته ډیمون ژوندی نه ساتي. که تاسو پرېکړه کوئ چې Android تلیفون کولی شي د VPN سرور په توګه کار وکړي، درې پوښتنې جلا کړئ: آیا هدف پیریدونکی اورېدونکي ته رسېدلی شي، سرور پلي کول کوم د امتیازاتو ماډل ته اړتیا لري، او د تونل له پورته کېدو وروسته څه باید ولیږدول شي.
څوک او له کومه ځایه باید تلیفون ته ورسیږي
په همدې اجازه شوې LAN کې پیریدونکی او په موبایل ډیټا کې پیریدونکی دوه بېلې شبکې ازموي. لومړی هدف وټاکئ، ځکه ځوابونه یو بل ته نه لېږدول کیږي. په Wi-Fi کې نه غوښتل شوي ننوتونکي ترافیک معمولاً پورته روټر کې نقشې ته او له هغه هاخوا د کارېدونکې عامه لارې ته اړتیا لري. په سیلولر کې د آپریټر کچې NAT معنی دا ده چې ننوتونکی IPv4 ډېری وختونه نه وي، هر څه چې تلیفون اجازه ورکړي.
همدا وروستی ټکی هغه دی چې root ورته لاس نه شي رسولی. د تلیفون محلي فایر وال او د آپریټر NAT بېل سیستمونه دي، او لومړی بدلول پر دویم اغېزه نه لري. شخصي انټرفیس پته، د موبایل ډیټا نښه یا اورېدونکی ساکټ د رسېدنې ثبوت نه دی. که د آپریټر لاره واقعاً په نړیواله کچه د لارښوونې وړ IPv6 وړاندې کوي، بیا هم ورته قصدي اورېدونکی او فایر وال پالیسي ته اړتیا لرئ؛ پته لرل د اړیکو منلو سره یو شان نه دي.
| Client path | What actually decides reachability |
|---|---|
| Same LAN | The phone's listener and its local firewall |
| Wi-Fi, from the internet | A mapping on the upstream router plus a usable public path beyond it |
| Cellular IPv4 | The carrier's NAT, which the handset does not control |
| Cellular IPv6 | Address, listener and firewall policy together |
خدمت کول او لیږدول دوه بېلې بریاوې دي
بشپړ شوی VPN لاس اچول ثابتوي چې تونل شته. دا نه ثابتوي چې پیریدونکی کولی شي د تلیفون شاته LAN ته ورسیږي، او نه ثابتوي چې تلیفون کولی شي د انټرنېټ د وتلو ځای وي. دا بېل تنظیمات دي چې پر داخلي پتې پلان، لارو، د بېرته راتلو چلند او د هغه کار لپاره تنګ لیږدولو پالیسي ولاړ دي چې تاسو یې واقعاً غواړئ.
د ناکامۍ بڼه د وړاندوینې وړ ده: لاس اچول بریالي کیږي، پیریدونکی وصل ښکاري، او هیڅ نه بار کیږي. د پیریدونکي د ډیبګ کولو دمخه پرېکړه وکړئ چې د دوو رولونو کوم یو جوړوئ. د تلیفون شبکې کې وسیلې ته لیرې لاسرسی او د بشپړ تونل له لارې انټرنېټ وتل بېل لیږدولو قواعد غواړي، او کله چې یو غواړئ دواړه ورکول ستاسو غوښتل شوې وړتیا نه زیاتوي او یوازې خطر پراخوي.
د امتیازاتو ماډل یوه خوښه ده، نه root یا هیڅ نه
دودیز OpenVPN ډیمون چې د کرنل TUN وسیله کاروي اړوندې وړتیاوې، وسیلې نوډ ته لاسرسی او د Android امنیتي پالیسي همکاري غواړي. root له SELinux څخه هراړخیزه معافیت نه دی؛ امتیاز لرونکې پروسه بیا هم د پلیټ فارم پالیسي له خوا محدوده ده. له همدې امله داسې باینري چې په Linux سرور کې سم کار کوي، په تلیفون کې د اجازو په اړه روښانه تېروتنې پرته ناکامه کېدلی شي.
په کاروونکي فضا کې د دروازې پلي کول ممکن بشپړ بېل د امتیازاتو ماډل ولري، نو دا عام ادعا چې په Android کې هر VPN سرور root ته اړتیا لري ډېره پراخه ده. root تاسو ته د ډېرو عملیاتو هڅه کولو وړتیا اخلي، نه د دې تضمین چې اجازه به ورته ورکړل شي یا نتیجه به رسېدونکې وي.
د Android خپله د VPN خدمت ثبتول بیا بله جلا میکانیزم ده. دا اپلیکیشن ته د ټاکل شوي ژوند دورې سره مدیریت شوی پیریدونکی انټرفیس ورکوي؛ دا عمومي سرور نصب کوونکی نه دی، او له ټرمینل څخه ډیمون پیلول ورته تلپاتې مدیریت، د هر اپلیکیشن پالیسي یا خپله د بیا رغولو لاره نه ورکوي.
که وتلو نقطه غواړئ، معماري بدله کړئ
کله چې هدف یوازې د تلیفون له لارې لیرې انټرنېټ وتل وي نه د موجود OpenVPN پروفایل سره مطابقت، نو د پوښ شبکې منل شوی وتلو نوډ ښه سم ډیزاین دی. Tailscale خپلو ثبت، اجازې او د پیریدونکي ټاکلو ګامونو سره د Android وتلو نوډ رول مستند کوي.
دا تبادله ریښتیا ده او د روښانه ویلو وړ ده: تاسو بېل پروتوکول، بېل باور ماډل او د هغه حساب او همغږي خدمت پورې تړاو منل کوئ. دا نه بدل شوی OpenVPN پیریدونکی پوښ شبکې ته ننوځي، او نه تاسو ته په عامه پته کې OpenVPN اورېدونکی درکوي.
څه شی لا هم ځای پرځای کولو ته اړتیا لري
هره لاره چې وټاکئ، عملیاتي بنسټونه پرېکړه کوي چې یوه اونۍ به پاتې شي که نه. د سرور اعتبارنامې شخصي وساتئ، بېلې پیریدونکي هویتونه صادر کړئ، او د اړتیا دمخه د لغوه کولو پلان جوړ کړئ. پرېکړه وکړئ چې تازه معلومات څنګه راځي، څه شی خدمت په شالید کې روان ساتي، او د بیا پیل یا شبکې بدلون وروسته څنګه روغ کیږي.
هغو لنډو لارو څخه ډډه وکړئ چې اسانه ښکاري: زوړ سټاتیک باینري، په کوډ کې ټاکل شوي انټرفیس نومونه، او د پیل سکریپټ چې موجوده فایر وال پالیسي پاکوي. بیا نتیجه یوازې د یوې ټاکلې ازموینې په مقابل کې ومنئ: مجاز لیرې پیریدونکی هدف شوي سرچینې ته رسیږي، بندې موخې نه لاسرسي وړ پاتې کیږي، او د ملاتړ شوي ژوند دورې پیښې وروسته وسیله پخپله بېرته راځي. root لاسرسی په دې نتیجه کې یو ممکنه برخه ده، او په نادره توګه پرېکړه کوونکې.