Android OpenVPN: magdagdag ng pribadong ruta nang hindi nire-root ang telepono

Kailangan mo ng isa pang pribadong subnet — sabihin nating 10.60.0.0/24 — na wala pa sa profile ngayon. Sa laptop ay magdadagdag ka ng ruta at magpapatuloy. Sa Android, ang VPN ay isang app, pag-aari ng app na iyon ang tun device, at walang routing table na maaari mong i-edit nang walang root. Kailangan pa ring umiral ang ruta, ngunit pumapasok ito sa profile na nilo-load ng client, at gumagana lamang kung pumapayag ang kabilang panig. Narito ang pag-edit, ang muling pagkonekta, ang panig ng server at ang pag-urong.

Bago ang pag-edit: ano ang kaya at hindi kaya ng ruta

Sinisagot ng ruta ang isang tanong: alíng interface ang dapat magdala ng trapiko papunta sa destinasyong ito. Wala itong pinapahintulutan. Kung hindi pumayag ang may-ari ng network na maabot ng teleponong ito ang subnet na iyon, ang tamang ruta ay gumagawa ng konfigurasyong mukhang tama at tahimik na paghulog sa gateway, at gugugulin mo ang susunod na oras sa pag-edit ng maling file.

Kunin muna ang pahintulot na iyon, sa sulat kung may may-ari ang network. Pagkatapos ay itala ang hindi mo ginagawa: hindi ka nagbibigay ng address sa telepono sa loob ng LAN na iyon, hindi mo binabago ang listener ng server, at hindi ka pumipili ng site ayon sa hostname. Apat na magkakaibang pagbabago iyon at ang una lang ang sa iyo.

I-edit ang profile na aktwal na nilo-load ng client

Para sa katugmang client na nag-aangkat ng ordinaryong teksto ng opsyon na OpenVPN, isang linya ang dagdag:

route 10.60.0.0 255.255.255.0

Idagdag ito sa katawan ng profile, malapit sa iba pang direktiba sa routing, at iwanan ang endpoint, mga sertipiko, paghawak ng key at mga linya ng beripikasyon ng operator nang eksaktong tulad ng dati. Huwag i-paste ang buong lumang halimbawa para manghiram ng isang linya: kasama ang compression, mga absolute na path ng file at mga lipas na setting ng cipher at magkakahalaga ito sa iyo ng hiwalay na sesyon ng pag-debug.

Ang hakbang na nakakaligtaan ng mga tao ay ang pagmamay-ari ng file. Kung nag-angkat ang app ng profile, ang kopyang ginagamit nito ay sa app, at walang nababago sa pag-edit ng na-download na orihinal. Gamitin ang sinusuportahang editor ng client, o i-angkat muli ang na-edit na file sa daan ng update, at tiyakin ang pangalan ng aktibong profile kapag maraming magkatulad na pangalan. Itala kung alin ang binago mo.

Kung may route-nopull na ang profile, walang ruta mula sa server na naka-install at bawat prefix na kailangan ng telepono ay dapat na nakalista nang tahasan. Lehitimong disenyo iyon, ngunit nangangahulugan itong ang isang linyang nakaligtaan ay mukhang eksaktong pagtanggi ng server.

Muling kumonekta at iberipika sa device

Mag-disconnect muna, pagkatapos ay muling kumonekta sa partikular na profile na in-edit mo sa halip na hayaang ibalik ng app ang huling sesyon. Buksan ang log ng koneksyon at tiyaking na-parse ng client ang bagong linya; ang direktiba sa ruta na binabalewala ng interface ay karaniwang resulta ng pag-edit ng maling kopya.

Subukan ang destinasyon sa address, hindi sa pangalan. Ang TCP check sa isang kilalang service port ay mas nagbibigay-alam kaysa ping, dahil maraming host ang sumasagot sa ICMP habang ang service port ay sinasala. Kung sumasagot ang address at ang pangalan ay hindi, tanong sa resolver iyon at hindi sa routing, at ang susunod na seksyon ay hindi para sa iyo.

Kasama rin dito ang dalawang pagsusuri sa saklaw. Ang VPN bawat app ay nangangahulugang maaaring may rutang address habang ang app na ginagamit mo sa pagsubok ay nasa labas ng kasamang set, kaya subukan gamit ang app na talagang nasa loob. At walang sinasabi ang IPv4 prefix tungkol sa daang IPv6; kung dual-stack ang serbisyo, idagdag ang katumbas na rutang IPv6 o asahan na pipiliin ng client ang daang hindi mo sinadya.

Isang negatibong resulta ang sulit na makilala nang maaga: kung ang rutang full-tunnel ay sumasaklaw na sa 0.0.0.0/0, hindi kulang ang prefix at walang nababago sa pagdagdag muli nito. Hindi naaayos ng dobleng saklaw ang pagtanggi sa panig ng server o ang nawawalang sagot.

Tapusin ang daan sa server

Tatlong bagay ang dapat totoo sa labas ng telepono. Kailangan ng gateway ng ruta papunta sa destinasyon at pahintulot na ipasa ang pinagmulan ng telepono patungo roon. Kailangang tanggapin ng target ang pinagmulang iyon at ibalik ang mga sagot sa pamamagitan ng gateway, kung hindi ay kailangan ng disenyo ng sadyang pagsasalin sa labasan. Sinasaklaw ng opsiyon na route sa manwal ng OpenVPN ang direktiba sa panig ng client; ang pagpapasa at pag-route pabalik ay magkahiwalay na setting sa magkahiwalay na makina.

Kung ang destinasyon ay nasa likod ng ibang VPN client at hindi direktang nasa likod ng gateway, kailangan ng server ng iroute para sa subnet ng peer na iyon. Pag-aari ng server ang direktibang iyon at inilalarawan kung alíng client ang may prefix; hindi ito maibibigay ng telepono mula sa sarili nitong profile, at walang dami ng pag-edit sa panig ng client ang pumapalit dito.

Tahasang suriin ang daang pabalik. Ang sagot na lumalabas sa default na ruta sa halip na sa tunnel ay gumagawa ng klasikong sintomas na kalahating bukas: naitatag ang koneksyon sa isang direksyon at walang bumabalik. Ang pagsasalin ng pinagmulan sa gateway ay lehitimong pagwawasto kapag hindi makapag-route pabalik ang target, ngunit ito ay desisyong patakaran na may sariling kahihinatnan.

Pag-urong at pagtanggap

Itabi ang dating profile bago mo ito i-edit. Kung pinapalala ng pagbabago ang sitwasyon, ibalik ang kopyang iyon sa parehong daan ng muling pag-angkat, muling kumonekta, at tiyaking bumalik ang dating pag-uugali — kumpirmasyon iyon na binago mo ang inakala mong binago mo. Ang pag-urong na hindi nagbabalik ng dating estado ay nangangahulugang may hawak na ikatlong kopya ang app na hindi mo pa natagpuan.

Tanggapin ang pagbabago kapag apat na bagay ang nananatili, sinusubok sa ayos na ito pagkatapos ng bagong koneksyon: sumasagot ang destinasyon sa service port nito, naresolba ang pribadong pangalan kung inaasahan, binabalidate pa rin ng HTTPS ang nilalayong hostname, at gumagana pa rin ang lahat pagkatapos ng reboot o paglipat mula Wi-Fi patungong cellular. Ang huling pagsusuri ang humuhuli sa rutang umiiral lamang hanggang muling itatag ng Android ang tunnel.

• Tiyakin na pinapayagan ng may-ari ng network ang destinasyon bago mag-edit ng kahit ano.
• Ilagay ang ruta sa profile na nilo-load ng client, pagkatapos ay i-angkat muli at muling kumonekta.
• Iberipika sa service port, sa loob ng saklaw bawat app, para sa tamang pamilya ng address.
• Ayusin ang pagpapasa, pag-route pabalik at iroute sa server, hindi sa telepono.
• Itabi ang kopya para sa pag-urong, at muling subukan pagkatapos ng reboot.