Android OpenVPN: shtimi i një rruge private pa rootuar telefonin

Të duhet edhe një nënrrjet privat — le të themi 10.60.0.0/24 — që profili nuk e përmban tani. Në një laptop do të shtoje një rrugë dhe do të vazhdoje. Në Android VPN-ja është një aplikacion, pajisja tun i përket atij aplikacioni dhe nuk ka tabelë rrugëtimi që mund ta editosh pa root. Rruga duhet të ekzistojë gjithsesi, por ajo shkon në profilin që ngarkon klienti dhe funksionon vetëm nëse pala tjetër është dakord. Ja ndryshimi, rilidhja, ana e serverit dhe kthimi pas.

Para ndryshimit: çfarë mund dhe çfarë nuk mund të bëjë një rrugë

Një rrugë përgjigjet një pyetjeje: cila ndërfaqe duhet të mbajë trafikun për këtë destinacion. Nuk autorizon asgjë. Nëse pronari i rrjetit nuk është dakord që ky telefon mund të arrijë atë nënrrjet, një rrugë e saktë prodhon një konfigurim që duket i saktë dhe një hedhje të heshtur në portë, dhe orën tjetër do ta kalosh duke edituar skedarin e gabuar.

Merr fillimisht atë marrëveshje, me shkrim nëse rrjeti ka pronar. Pastaj shëno çfarë nuk po bën: nuk i jep telefonit një adresë brenda atij LAN, nuk ndryshon dëgjuesin e serverit dhe nuk zgjedh një sajt sipas emrit të hostit. Këto janë katër ndryshime të ndryshme dhe vetëm i pari është i yti.

Edito profilin që klienti ngarkon vërtet

Për një klient të përputhshëm që importon tekst të zakonshëm opsionesh OpenVPN, shtesa është një rresht:

route 10.60.0.0 255.255.255.0

Shtoje në trupin e profilit, pranë direktivave të tjera të rrugëtimit, dhe mbaj endpointin, certifikatat, trajtimin e çelësave dhe rreshtat e verifikimit të operatorit saktësisht si ishin. Mos ngjit një shembull të vjetër të plotë për të huazuar një rresht: kompresimi, shtigjet absolute të skedarëve dhe cilësimet e vjetruara cipher udhëtojnë me të dhe do të kushtojnë një seancë të veçantë korrigjimi.

Hapi që njerëzit harrojnë është pronësia e skedarit. Nëse aplikacioni importoi një profil, kopja që përdor është e aplikacionit, dhe editimi i origjinalit të shkarkuar nuk ndryshon asgjë. Përdor edituesin e mbështetur të klientit, ose riimporto skedarin e edituar përmes rrugës së përditësimit, dhe konfirmo emrin e profilit aktiv kur ka disa emra të ngjashëm. Shëno cilin ndryshove.

Nëse profili tashmë mban route-nopull, nuk instalohet asnjë rrugë nga serveri dhe çdo prefiks që i duhet telefonit duhet të listohet në mënyrë eksplicite. Ky është një dizajn legjitim, por do të thotë që një rresht i hequr duket saktësisht si një refuzim i serverit.

Rilidhu dhe verifiko në pajisje

Shkëputu fillimisht, pastaj rilidh profilin specifik që edituat, në vend që ta lësh aplikacionin të rivendosë seancën e fundit. Hap regjistrin e lidhjes dhe konfirmo që klienti ka analizuar rreshtin e ri; një direktivë rrugëtimi që ndërfaqja e injoron është një rezultat i zakonshëm i editimit të kopjes së gabuar.

Testo destinacionin sipas adresës, jo sipas emrit. Një kontroll TCP në një port shërbimi të njohur thotë më shumë se një ping, sepse shumë hoste përgjigjen në ICMP ndërsa porti i shërbimit është i filtruar. Nëse adresa përgjigjet dhe emri jo, ke një pyetje resolveri dhe jo rrugëtimi, dhe pjesa tjetër nuk është për ty.

Këtu hyjnë edhe dy kontrolle shtrirjeje. VPN sipas aplikacionit do të thotë që një rrugë adrese mund të ekzistojë ndërsa aplikacioni me të cilin teston është jashtë grupit të përfshirë, prandaj testo me një aplikacion që është vërtet brenda. Dhe një prefiks IPv4 nuk thotë asgjë për rrugën IPv6; nëse shërbimi është dual-stack, shto rrugën përkatëse IPv6 ose prit që klienti të preferojë një rrugë që nuk e kishe ndërmend.

Një rezultat negativ ia vlen të njihet herët: nëse një rrugë full-tunnel mbulon tashmë 0.0.0.0/0, prefiksi nuk mungon dhe shtimi i tij përsëri nuk ndryshon asgjë. Mbulimi i dyfishtë nuk rregullon një refuzim nga ana e serverit as një përgjigje që mungon.

Përfundo rrugën në server

Tre gjëra duhet të jenë të vërteta përtej telefonit. Porta ka nevojë për një rrugë drejt destinacionit dhe leje për të përcjellë burimin e telefonit drejt saj. Objektivi duhet ta pranojë atë burim dhe t'i kthejë përgjigjet përmes portës, ose dizajni ka nevojë për përkthim të qëllimshëm në dalje. Opsioni route i manualit të OpenVPN mbulon direktivën në anën e klientit; përcjellja dhe rrugëtimi i kthimit janë cilësime të veçanta në makina të veçanta.

Nëse destinacioni ndodhet pas një klienti tjetër VPN dhe jo drejtpërdrejt pas portës, serveri ka nevojë për një iroute për nënrrjetin e atij partneri. Ajo direktivë i përket serverit dhe përshkruan cili klient zotëron një prefiks; një telefon nuk mund ta japë nga profili i vet, dhe asnjë sasi editimi në anën e klientit nuk e zëvendëson.

Kontrollo në mënyrë eksplicite rrugën e kthimit. Një përgjigje që del nga rruga e parazgjedhur në vend të tunelit prodhon simptomën klasike gjysmë të hapur: lidhja vendoset në një drejtim dhe asgjë nuk kthehet. Përkthimi i burimit në portë është një rregullim legjitim kur objektivi nuk mund të rrugëtojë mbrapsht, por është një vendim politike me pasojat e veta.

Kthimi pas dhe pranimi

Ruaj profilin e mëparshëm përpara se ta editosh. Nëse ndryshimi i përkeqëson gjërat, rikthe atë kopje përmes të njëjtës rrugë riimportimi, rilidhu dhe konfirmo që sjellja e vjetër kthehet — kjo konfirmon që ndryshove atë që mendove se ndryshove. Një kthim pas që nuk rivendos gjendjen e vjetër do të thotë që aplikacioni mban një kopje të tretë që nuk e ke gjetur.

Prano ndryshimin kur katër gjëra qëndrojnë, të testuara në këtë rend pas një rilidhjeje të re: destinacioni përgjigjet në portin e tij të shërbimit, emri privat zgjidhet nëse pritet, HTTPS ende vërteton emrin e hostit të synuar, dhe gjithçka funksionon ende pas një rindezjeje ose një kalimi nga Wi-Fi në rrjet celular. Kontrolli i fundit është ai që kap një rrugë që ekziston vetëm derisa Android të rivendosë tunelin.

• Konfirmo para çdo editimi që pronari i rrjetit e lejon destinacionin.
• Vendos rrugën në profilin që ngarkon klienti, pastaj riimporto dhe rilidhu.
• Verifiko përmes portit të shërbimit, brenda shtrirjes sipas aplikacionit, për familjen e duhur të adresave.
• Rregullo përcjelljen, rrugëtimin e kthimit dhe iroute në server, jo në telefon.
• Ruaj një kopje kthimi pas dhe ritesto pas një rindezjeje.