Android OpenVPN: dodajanje zasebne poti brez rootanja telefona

Potrebujete še eno zasebno podomrežje — recimo 10.60.0.0/24 — ki ga profil zdaj ne vsebuje. Na prenosniku bi dodali pot in šli naprej. V Androidu je VPN aplikacija, naprava tun pripada tej aplikaciji, brez roota pa ni tabele usmerjanja, ki bi jo lahko urejali. Pot mora vseeno obstajati, a gre v profil, ki ga naloži odjemalec, in deluje le, če se druga stran strinja. Sledijo sprememba, ponovna povezava, strežniška stran in razveljavitev.

Pred spremembo: kaj pot zmore in česa ne

Pot odgovori na eno vprašanje: kateri vmesnik naj nosi promet do tega cilja. Ničesar ne pooblasti. Če se lastnik omrežja ni strinjal, da lahko ta telefon doseže to podomrežje, pravilna pot ustvari videz pravilne konfiguracije in tiho zavrženje na prehodu, naslednjo uro pa boste urejali napačno datoteko.

Najprej pridobite to soglasje, pisno, če ima omrežje lastnika. Nato zapišite, česa ne počnete: telefonu ne dodeljujete naslova v tem LAN, ne spreminjate poslušalca strežnika in ne izbirate mesta po imenu gostitelja. To so štiri različne spremembe in le prva je vaša.

Uredite profil, ki ga odjemalec dejansko naloži

Za združljivega odjemalca, ki uvozi običajno besedilo možnosti OpenVPN, je dodatek ena vrstica:

route 10.60.0.0 255.255.255.0

Dodajte jo v telo profila, ob druge direktive usmerjanja, endpoint, potrdila, ravnanje s ključi in vrstice preverjanja operaterja pa pustite natanko take, kot so bile. Ne prilepite celega starega primera, da bi si izposodili eno vrstico: stiskanje, absolutne poti datotek in zastarele nastavitve cipher potujejo z njim in vas bodo stale ločene seje odpravljanja napak.

Korak, ki ga ljudje spregledajo, je lastništvo datoteke. Če je aplikacija uvozila profil, je kopija, ki jo uporablja, aplikacijina, urejanje prenesenega izvirnika pa ne spremeni ničesar. Uporabite podprti urejevalnik odjemalca ali znova uvozite urejeno datoteko po poti posodobitve in potrdite ime dejavnega profila, kadar obstaja več podobnih imen. Zapišite, katerega ste spremenili.

Če profil že vsebuje route-nopull, se nobena pot s strežnika ne namesti in vsak predpona, ki jo telefon potrebuje, mora biti navedena izrecno. To je legitimna zasnova, a pomeni, da izpuščena vrstica izgleda natanko kot zavrnitev strežnika.

Znova se povežite in preverite na napravi

Najprej prekinite povezavo, nato znova povežite prav tisti profil, ki ste ga uredili, namesto da bi aplikaciji dovolili obnoviti zadnjo sejo. Odprite dnevnik povezave in potrdite, da je odjemalec razčlenil novo vrstico; direktiva usmerjanja, ki jo vmesnik prezre, je pogost izid urejanja napačne kopije.

Cilj preizkusite po naslovu, ne po imenu. Preverjanje TCP na en znan servisni vrat da več informacij kot ping, ker mnogi gostitelji odgovarjajo na ICMP, medtem ko je servisni vrat filtriran. Če naslov odgovori, ime pa ne, imate vprašanje razreševalnika in ne usmerjanja, naslednji razdelek pa ni za vas.

Sem spadata tudi dve preverjanji obsega. VPN na aplikacijo pomeni, da je naslovna pot lahko prisotna, medtem ko je aplikacija, s katero preizkušate, zunaj vključenega nabora, zato preizkušajte z aplikacijo, ki je res znotraj. In predpona IPv4 ne pove ničesar o poti IPv6; če je storitev dual-stack, dodajte ustrezno pot IPv6 ali pričakujte, da bo odjemalec izbral pot, ki je niste nameravali.

En negativen izid velja prepoznati zgodaj: če pot full-tunnel že pokriva 0.0.0.0/0, predpone ne manjka in ponovno dodajanje ne spremeni ničesar. Dvojno pokritje ne popravi zavrnitve na strani strežnika niti manjkajočega odgovora.

Dokončajte pot na strežniku

Tri stvari morajo veljati zunaj telefona. Prehod potrebuje pot do cilja in dovoljenje za posredovanje vira telefona proti njemu. Cilj mora ta vir sprejeti in vrniti odgovore skozi prehod, sicer zasnova potrebuje nameren prevod na izhodu. Možnost route iz priročnika OpenVPN pokriva direktivo na strani odjemalca; posredovanje in povratno usmerjanje sta ločeni nastavitvi na ločenih strojih.

Če cilj stoji za drugim odjemalcem VPN in ne neposredno za prehodom, strežnik potrebuje iroute za podomrežje tega partnerja. Ta direktiva pripada strežniku in opisuje, kateri odjemalec ima predpono; telefon je ne more zagotoviti iz svojega profila in nobena količina urejanja na strani odjemalca je ne nadomesti.

Izrecno preverite povratno pot. Odgovor, ki odide po privzeti poti namesto po tunelu, ustvari klasičen znak napol odprte povezave: povezava se vzpostavi v eno smer in nič se ne vrne. Prevod vira na prehodu je legitimna poprava, ko cilj ne more usmeriti nazaj, a je politična odločitev z lastnimi posledicami.

Razveljavitev in sprejem

Pred urejanjem shranite prejšnji profil. Če sprememba poslabša stanje, obnovite to kopijo po isti poti ponovnega uvoza, znova se povežite in potrdite, da se staro vedenje vrne — to potrjuje, da ste spremenili tisto, kar ste mislili, da spreminjate. Razveljavitev, ki ne obnovi starega stanja, pomeni, da ima aplikacija tretjo kopijo, ki je niste našli.

Spremembo sprejmite, ko veljajo štiri stvari, preizkušene v tem vrstnem redu po novi povezavi: cilj odgovori na svojih servisnih vratih, zasebno ime se razreši, če se pričakuje, HTTPS še vedno potrjuje predvideno ime gostitelja in vse še deluje po ponovnem zagonu ali prehodu z Wi-Fi na mobilno omrežje. Zadnje preverjanje je tisto, ki ujame pot, ki obstaja le, dokler Android znova ne vzpostavi tunela.

• Pred kakršno koli spremembo potrdite, da lastnik omrežja dovoli cilj.
• Postavite pot v profil, ki ga naloži odjemalec, nato znova uvozite in se povežite.
• Preverite prek servisnih vrat, znotraj obsega na aplikacijo, za pravo družino naslovov.
• Popravite posredovanje, povratno usmerjanje in iroute na strežniku, ne na telefonu.
• Shranite kopijo za razveljavitev in po ponovnem zagonu znova preizkusite.