Strežnik VPN na Raspberry Pi: začnite z aplikacijo v telefonu, ne z receptom

Večina postavitev VPN na Raspberry Pi se začne z receptom za strežnik in konča s telefonom, ki se ne more povezati. Vrstni red je obrnjen. Odjemalec v telefonu izvaja določen protokol z določeno izmenjavo overjanja, strežnik pa se mora prilagoditi tej izmenjavi, ne obratno. Če najprej določite aplikacijo, se celotno popoldne odpravljanja napak spremeni v kratek kontrolni seznam.

Vrstni red, ki prihrani ponovno postavitev

Preden na Pi kar koli namestite, zapišite operacijski sistem telefona in natančno aplikacijo VPN. Ta par določa, kateri protokol je sploh mogoč. Odjemalska aplikacija ne postane drug odjemalec samo zato, ker profil slučajno vsebuje znano polje.

Skupna skrivnost v profilu ali znano videti številka vrat ne spremeni enega protokola v drugega. Izmenjava se bodisi ujema s tem, kar izvaja aplikacija, bodisi spodleti v fazi, ki vam da zelo malo za branje. Ni diagnostike, ki bi s preprostimi besedami rekla "napačen protokol". Dobite potek časa, napako potrdila ali tiho zanko ponovnih poskusov, in vse to je videti kot težava strežnika.

Ko je aplikacija določena, se izbira strežnika zoži in preostanek postavitve ima cilj.

Kaj aplikacija v telefonu dejansko izvaja

Objavljen seznam odjemalcev opisuje aplikacijo, ne storitve. Aplikacija OpenVPN Connect za Android pričakuje strežnik OpenVPN; strežniške strani ne zagotavlja. Prav tako ne postane odjemalec IPsec ali L2TP, ko je profil videti podoben.

Ta razlika je najpomembnejša pri sledenju starejšemu vodniku. Recepti, napisani za protokol, ki ga trenutna aplikacija ne podpira več, se na Pi še vedno namestijo čisto in v telefonu še vedno spodletijo, kar se bere kot napaka v konfiguraciji in ne kot neusklajenost protokola.

Preden se zavežete k paketu strežnika, preverite v trenutni dokumentaciji aplikacije, katere oblike profilov uvaža. Pet minut branja je boljših od ponovne postavitve.

Štiridelni dogovor

Zapišite štiri stvari in jih imejte skupaj: operacijski sistem in različico aplikacije v telefonu, izvedbo strežnika na Pi, politiko overjanja in zaupanja ter zunanjo končno točko. Vsaka od štirih lahko razveljavi druge tri.

Nadgradnja aplikacije, sprememba paketa strežnika ali nova potrditvena oblast prekinejo dogovor, in spodletelost je s telefona vsakič videti enako. Prav zapisane štiri omogočajo ugotoviti, kateri del se je premaknil.

Prijavni podatki imajo ločene naloge

Odločite se, ali profil uporablja odjemalska potrdila, uporabniško ime in geslo ali podprto kombinacijo, in uskladite oba konca. Identiteta strežnika in gradivo zaupanja vredne CA se morata prav tako ujemati s tem, kar bo odjemalec sprejel.

Javno potrdilo CA in njegov zasebni podpisni ključ sta različna predmeta. V profil telefona sodi samo javni del. Če podpisni ključ postavite v telefon, podarite zmožnost ustvarjanja identitet, kar je nasprotje namena CA. To datoteko obravnavajte kot najobčutljivejši predmet celotne postavitve.

Uporabite podprt tok izvoza in uvoza storitve, namesto da bi profil sestavljali ročno. Ročno zgrajeni profili običajno nosijo direktive samo za namizja, ki jih mobilna aplikacija prezre ali zavrne.

Predvsem ne nadomestite preverjanja potrdila z "sprejmi kateri koli strežnik", da bi se stari primer povezal. To spremeni težavo združljivosti v obhod overjanja in običajno preživi do produkcije, ker deluje.

Dosegljivost je ločena pogodba

Telefon mora doseči zunanjo končno točko strežnika skozi resnično nadrejeno ureditev. Prevod domačega usmerjevalnika, filtriranje in NAT operaterja so vsi vmes. Dinamično ime DNS daje končni točki samo stabilno ime; ne ustvari vhodne poti.

Nato določite, kaj lahko odjemalec doseže po povezavi: zasebne predpone ali poln izhod v internet, njihove poti posredovanja in odgovora, vedenje DNS ter ali je IPv6 v obsegu. Uspešna prijava ne dokaže nič od tega.

Sprejmite predvideni telefon in profil neposredno, vključno s preverjanjem, da nedovoljen vir ostane nedosegljiv in da preklic resnično odstrani dostop. Uspeh z namiznim odjemalcem potrjuje ta namizni odjemalec, ne telefon v vaši roki. Seznam OpenVPN Connect je konkreten primer odjemalske aplikacije, ki pričakuje ustrezno storitev.