Android OpenVPN: додавање приватне руте без root-а на телефону
Додајте једну руту у профил који Android заиста учитава, затим проверите да ли је сервер допушта. Водич кроз измену, поновно повезивање и четири провере.
Потребна вам је још једна приватна подмрежа — рецимо 10.60.0.0/24 — коју профил тренутно не садржи. На преносивом рачунару бисте додали руту и наставили. На Android-у је VPN апликација, tun уређај припада тој апликацији и нема табеле усмеравања коју бисте могли уређивати без root-а. Рута ипак мора постојати, али иде у профил који клијент учитава и ради само ако се друга страна слаже. Следе измена, поновно повезивање, страна сервера и враћање.
Пре измене: шта рута може, а шта не може
Рута одговара на једно питање: које сучеље треба да носи саобраћај ка овом одредишту. Она ништа не овлашћује. Ако власник мреже није пристао да овај телефон може достићи ту подмрежу, исправна рута ствара конфигурацију која изгледа исправно и тихи пад на приступнику, а следећи сат проведете уређујући погрешну датотеку.
Прво исходујте тај пристанак, писаним путем ако мрежа има власника. Затим запишите шта не радите: не додељујете телефону адресу унутар тог LAN-а, не мењате ослушкивач сервера и не бирате локацију према имену хоста. То су четири различите промене и само је прва ваша.
| The route gives you | The route does not give you |
|---|---|
| A destination prefix associated with the tunnel | Permission to forward at the gateway |
| A path for the phone's own traffic | A return route on the target host |
| A scope for the client's virtual interface | A name in DNS, or HTTPS identity |
Уредите профил који клијент заиста учитава
За компатибилан клијент који увози обичан OpenVPN текст опција, додатак је један ред:
route 10.60.0.0 255.255.255.0Додајте га у тело профила, уз остале директиве усмеравања, а endpoint, сертификате, руковање кључевима и редове провере оператера оставите тачно какви су били. Немојте залепити цео стари пример да бисте позајмили један ред: компресија, апсолутне путање датотека и застареле cipher поставке путују с њим и коштаће вас засебне сесије отклањања грешака.
Корак који људи пропуштају је власништво датотеке. Ако је апликација увезла профил, копија коју користи припада апликацији и уређивање преузетог оригинала не мења ништа. Користите подржани уређивач клијента или поново увезите измењену датотеку путем путање ажурирања и потврдите назив активног профила када постоји неколико сличних назива. Запишите који сте променили.
Ако профил већ носи route-nopull, ниједна рута са сервера није инсталирана и сваки префикс који телефон треба мора бити изричито наведен. То је легитимно решење, али значи да изостављени ред изгледа тачно као одбијање сервера.
Поново се повежите и проверите на уређају
Прво прекините везу, затим поново повежите управо онај профил који сте уредили, уместо да апликацији допустите обнављање последње сесије. Отворите записник везе и потврдите да је клијент рашчланио нови ред; директива усмеравања коју сучеље игнорише чест је исход уређивања погрешне копије.
Тестирајте одредиште по адреси, не по имену. TCP провера према једном познатом сервисном порту даје више информација од ping-а јер многи host-ови одговарају на ICMP док је сервисни порт филтриран. Ако адреса одговара, а име не, имате питање разрешивача, а не усмеравања, и следећи одељак није за вас.
Овде припадају и две провере опсега. VPN по апликацији значи да адресна рута може постојати док је апликација којом тестирате изван укљученог скупа, па тестирајте апликацијом која је заиста унутра. А IPv4 префикс не говори ништа о путу преко IPv6; ако је услуга dual-stack, додајте одговарајућу IPv6 руту или очекујте да ће клијент преферирати пут који нисте намеравали.
Један негативан резултат вреди рано препознати: ако full-tunnel рута већ покрива 0.0.0.0/0, префикс не недостаје и његово поновно додавање не мења ништа. Двострука покривеност не поправља одбијање на страни сервера ни одсутан одговор.
Довршите пут на серверу
Три ствари морају бити истините изван телефона. Приступнику треба рута према одредишту и дозвола за прослеђивање извора телефона према њему. Циљ мора прихватити тај извор и вратити одговоре кроз приступник, или решење треба намерно превођење на излазу. OpenVPN-ова опција route из приручника покрива директиву на страни клијента; прослеђивање и повратно усмеравање засебне су поставке на засебним машинама.
Ако одредиште стоји иза другог VPN клијента, а не директно иза приступника, сервер треба iroute за подмрежу тог партнера. Та директива припада серверу и описује који клијент поседује префикс; телефон је не може доставити из сопственог профила и никаква количина уређивања на страни клијента је не замењује.
Изричито проверите повратни пут. Одговор који излази задатом рутом уместо тунелом ствара класичан симптом напола отворене везе: веза је успостављена у једном смеру и ништа се не враћа. Превођење извора на приступнику легитимна је исправка када циљ не може усмеравати назад, али то је одлука о политици са сопственим последицама.
Враћање и прихватање
Сачувајте претходни профил пре уређивања. Ако промена погорша ствари, вратите ту копију истом путањом поновног увоза, поново се повежите и потврдите да се старо понашање враћа — то потврђује да сте променили оно што сте мислили да мењате. Враћање које не успоставља старо стање значи да апликација држи трећу копију коју нисте пронашли.
Прихватите промену када важе четири ствари, испитане овим редом након свежег повезивања: одредиште одговара на свом сервисном порту, приватно име се разрешава ако се очекује, HTTPS још валидира предвиђено име хоста и све још ради након рестарта или преласка са Wi-Fi на мобилну мрежу. Последња провера је она која хвата руту која постоји само док Android поново не успостави тунел.
- Потврдите да власник мреже допушта одредиште пре било какве измене.
- Ставите руту у профил који клијент учитава, затим поново увезите и повежите се.
- Проверите преко сервисног порта, унутар опсега по апликацији, за исправну фамилију адреса.
- Поправите прослеђивање, повратно усмеравање и iroute на серверу, не на телефону.
- Сачувајте копију за враћање и поново тестирајте након рестарта.