Pi VPN сервер: почните од апликације на телефону, а не од рецепта

Већина Pi VPN инсталација почиње рецептом за сервер и завршава телефоном који не може да се повеже. Редослед је обрнут. Клијент на телефону имплементира одређени протокол са одређеном аутентификационом разменом, а сервер мора да се прилагоди тој размени, а не обрнуто. Ако прво одаберете апликацију, цело поподне отклањања грешака претвара се у кратку контролну листу.

Редослед који штеди поновну изградњу

Забележите оперативни систем телефона и тачну VPN апликацију пре него што било шта инсталирате на Pi. Тај пар одређује који је протокол уопште могућ. Клијентска апликација не постаје други клијент само зато што профил случајно садржи познато поље.

Заједничка тајна у профилу или познат број порта не претвара један протокол у други. Размена или одговара ономе што апликација имплементира, или пада у фази која вам даје врло мало за читање. Не постоји дијагностика која обичним речима каже "погрешан протокол". Добијате истек времена, грешку сертификата или тиху петљу поновног покушаја, а све то изгледа као проблем са сервером.

Када је апликација фиксирана, избор сервера се сужава и остатак инсталације има циљ.

Шта апликација на телефону заправо имплементира

Објављени списак клијената описује апликацију, а не услугу. Апликација OpenVPN Connect за Android очекује OpenVPN сервер; она не пружа серверску страну. Такође не постаје IPsec или L2TP клијент када профил изгледа слично.

Та разлика је најважнија када следите старији водич. Рецепти написани за протокол који је тренутна апликација напустила и даље ће се чисто инсталирати на Pi и и даље неће радити на телефону, што изгледа као грешка у конфигурацији, а не као неусклађеност протокола.

Проверите тренутну документацију апликације за формате профила које увози пре него што се обавежете на серверски пакет. Пет минута читања боље је од поновне изградње.

Четвороделни споразум

Забележите четири ствари и држите их заједно: оперативни систем телефона и верзију апликације, имплементацију сервера на Pi, политику аутентификације и поверења и спољну крајњу тачку. Свака од четири може поништити остале три.

Надоградња апликације, промена серверског пакета или ново тело за издавање сертификата руше споразум, а неуспех са телефона сваки пут изгледа исто. Управо записане четири ставке омогућавају вам да утврдите који се део померио.

Подаци за пријаву имају одвојене задатке

Одлучите да ли профил користи клијентске сертификате, корисничко име и лозинку или подржану комбинацију, и ускладите оба краја. Идентитет сервера и материјал поузданог CA такође морају да одговарају ономе што ће клијент прихватити.

Јавни сертификат CA и његов приватни кључ за потписивање су различити објекти. У профил телефона припада само јавни део. Ако кључ за потписивање ставите на телефон, дајете могућност стварања идентитета, што је супротно сврси CA. Третирајте ту датотеку као најосетљивији објекат у целој инсталацији.

Користите подржани ток извоза и увоза услуге уместо ручног састављања профила. Ручно изграђени профили обично носе директиве само за сточне рачунаре које мобилна апликација игнорише или одбија.

Изнад свега, не замењујте проверу сертификата опцијом "прихвати било који сервер" да бисте стари пример повезали. То претвара проблем компатибилности у заобилажење аутентификације и обично преживи до продукције јер функционише.

Доступност је одвојен уговор

Телефон мора да дође до спољне крајње тачке сервера кроз стварни распоред узводно. Превод на кућном рутеру, филтрирање и NAT оператера све стоје између њих. Динамичко DNS име крајњој тачки даје само стабилно име; оно не ствара улазни пут.

Затим одредите шта клијент сме да достигне након повезивања: приватне префиксе или пуни излаз на интернет, њихове путање прослеђивања и одговора, понашање DNS-а и да ли је IPv6 у обухвату. Успешна пријава не доказује ништа од тога.

Прихватите намењени телефон и профил изравно, укључујући проверу да неовлашћени ресурс остаје недоступан и да опозив стварно уклања приступ. Успех са стоним клијентом потврђује тај стони клијент, а не телефон у вашој руци. Списак OpenVPN Connect конкретан је пример клијентске апликације која очекује одговарајућу услугу.