Android OpenVPN: telefonni root qilmasdan shaxsiy marshrut qo'shish
Android haqiqatda yuklaydigan profilga bitta marshrut qo'shing, so'ng server uni ruxsat berishini tekshiring. O'zgartirish, qayta ulanish va to'rtta tekshiruv bo'yicha qo'llanma.
Sizga yana bitta shaxsiy quyi tarmoq kerak — aytaylik 10.60.0.0/24 — u profilda hozir yo'q. Noutbukda siz marshrut qo'shib, davom etardingiz. Androidda VPN bu ilova, tun qurilmasi shu ilovaga tegishli, root bo'lmasa tahrirlash mumkin bo'lgan marshrutlash jadvali yo'q. Marshrut baribir bo'lishi kerak, lekin u klient yuklaydigan profilga kiradi va faqat narigi tomon rozi bo'lsa ishlaydi. Mana o'zgartirish, qayta ulanish, server tomoni va qaytarish.
O'zgartirishdan oldin: marshrut nima qila oladi va nima qila olmaydi
Marshrut bitta savolga javob beradi: bu manzilga trafikni qaysi interfeys olib boradi. U hech narsaga ruxsat bermaydi. Agar tarmoq egasi bu telefon o'sha quyi tarmoqqa yeta olishiga rozi bo'lmasa, to'g'ri marshrut to'g'ri ko'rinadigan konfiguratsiya va shlyuzda jimgina tashlab yuborishni keltiradi, keyingi soatni esa noto'g'ri faylni tahrirlash bilan o'tkazasiz.
Avval o'sha rozilikni oling, tarmoqning egasi bo'lsa yozma ravishda. So'ng nima qilmayotganingizni yozib qo'ying: telefonga o'sha LAN ichida manzil bermaysiz, serverning tinglovchisini o'zgartirmaysiz va xost nomi bo'yicha sayt tanlamaysiz. Bular to'rt xil o'zgartirish va faqat birinchisi sizniki.
| The route gives you | The route does not give you |
|---|---|
| A destination prefix associated with the tunnel | Permission to forward at the gateway |
| A path for the phone's own traffic | A return route on the target host |
| A scope for the client's virtual interface | A name in DNS, or HTTPS identity |
Klient haqiqatda yuklaydigan profilni tahrirlang
Oddiy OpenVPN opsiya matnini import qiladigan mos klient uchun qo'shimcha bitta satr:
route 10.60.0.0 255.255.255.0Uni profilning asosiy qismiga, boshqa marshrutlash ko'rsatmalari yoniga qo'shing, operatorning endpoint, sertifikatlari, kalitlar bilan ishlash va tekshirish satrlarini avvalgidek qoldiring. Bitta satr qarz olish uchun butun eski misolni yopishtirmang: siqish, mutlaq fayl yo'llari va eskirgan cipher sozlamalari u bilan birga keladi va alohida nosozliklarni tuzatish sessiyasiga tushasiz.
Odamlar o'tkazib yuboradigan qadam — faylning egaligi. Agar ilova profilni import qilgan bo'lsa, u ishlatadigan nusxa ilovaniki, yuklab olingan asl nusxani tahrirlash esa hech narsani o'zgartirmaydi. Klientning qo'llab-quvvatlanadigan muharririni ishlating yoki tahrirlangan faylni yangilash yo'li orqali qayta import qiling, o'xshash nomlar bir nechta bo'lsa faol profil nomini tasdiqlang. Qaysi birini o'zgartirganingizni yozib qo'ying.
Agar profilda allaqachon route-nopull bo'lsa, serverdan hech qanday marshrut o'rnatilmaydi va telefon uchun kerak bo'lgan har bir prefiks aniq sanab o'tilishi kerak. Bu qonuniy dizayn, lekin tushib qolgan satr serverning rad etishiga o'xshab ko'rinadi.
Qayta ulanib, qurilmada tekshiring
Avval uzilib, so'ng ilovaga oxirgi sessiyani tiklashga ruxsat bermay, o'zingiz tahrirlagan aynan o'sha profilga qayta ulanib chiqing. Ulanish jurnalini ochib, klient yangi satrni tahlil qilganini tasdiqlang; interfeys e'tiborsiz qoldiradigan marshrut ko'rsatmasi noto'g'ri nusxani tahrirlashning odatiy natijasi.
Manzilni nom bilan emas, manzil bilan sinab ko'ring. Ma'lum xizmat portiga TCP tekshiruvi pingdan ko'proq ma'lumot beradi, chunki ko'p xostlar ICMP ga javob beradi, xizmat porti esa filtrlangan bo'ladi. Manzil javob berib, nom bermasa, bu marshrutlash emas, hal qiluvchi masalasi va keyingi bo'lim siz uchun emas.
Bu yerda ikkita qamrov tekshiruvi ham bor. Ilova bo'yicha VPN deganda manzil marshruti mavjud bo'lishi mumkin, lekin siz sinovdan o'tkazayotgan ilova kiritilgan to'plamdan tashqarida bo'lishi mumkin, shuning uchun haqiqatan ichkaridagi ilova bilan sinang. Va IPv4 prefiksi IPv6 yo'li haqida hech narsa demaydi; xizmat dual-stack bo'lsa, tegishli IPv6 marshrutini qo'shing yoki klient siz o'ylamagan yo'lni afzal ko'rishini kuting.
Bitta salbiy natijani erta tanigan ma'qul: agar full-tunnel marshruti allaqachon 0.0.0.0/0 ni qamrab olgan bo'lsa, prefiks yetishmayotgani yo'q va uni qayta qo'shish hech narsani o'zgartirmaydi. Ikki barobar qamrov server tomonidagi rad etishni ham, yo'q javobni ham tuzatmaydi.
Yo'lni serverda tugating
Telefondan tashqarida uch narsa to'g'ri bo'lishi kerak. Shlyuzga manzilga marshrut va telefonning manbasini u tomonga uzatish ruxsati kerak. Maqsad bu manbani qabul qilib, javoblarni shlyuz orqali qaytarishi kerak, aks holda dizaynga chiqishda ataylab tarjima kerak. OpenVPN qo'llanmasidagi route opsiyasi klient tomonidagi ko'rsatmani qamrab oladi; uzatish va qaytish marshrutlash alohida mashinalardagi alohida sozlamalar.
Agar manzil shlyuzning bevosita orqasida emas, balki boshqa VPN klientining orqasida bo'lsa, serverga o'sha hamkorning quyi tarmog'i uchun iroute kerak. Bu ko'rsatma serverga tegishli va qaysi klient prefiksga ega ekanini tavsiflaydi; telefon uni o'z profilidan bera olmaydi va klient tomonidagi qancha tahrir bo'lsa ham uning o'rnini bosmaydi.
Qaytish yo'lini aniq tekshiring. Tunnel o'rniga standart marshrut orqali chiqadigan javob klassik yarim ochiq belgini keltiradi: aloqa bir yo'nalishda o'rnatiladi va hech narsa qaytmaydi. Maqsad orqaga marshrutlasha olmasa, shlyuzdagi manba tarjimasi qonuniy tuzatish, lekin bu o'z oqibatlariga ega siyosat qarori.
Qaytarish va qabul qilish
Tahrirlashdan oldin oldingi profilni saqlab qo'ying. Agar o'zgartirish vaziyatni yomonlashtirsa, o'sha nusxani o'sha qayta import yo'li bilan tiklang, qayta ulanib chiqing va eski xatti-harakat qaytganini tasdiqlang — bu o'zgartirdim deb o'ylagan narsangizni haqiqatan o'zgartirganingizni tasdiqlaydi. Eski holatni tiklamaydigan qaytarish ilovada siz topmagan uchinchi nusxa borligini bildiradi.
O'zgartirishni to'rt shart bajarilganda qabul qiling, ular yangi ulanishdan keyin shu tartibda tekshiriladi: manzil o'z xizmat portida javob beradi, kutilsa shaxsiy nom hal bo'ladi, HTTPS hali ham ko'zlangan xost nomini tasdiqlaydi va qayta yuklashdan yoki Wi-Fi dan uyali tarmoqqa o'tgandan keyin ham hammasi ishlaydi. Oxirgi tekshiruv — Android tunnelni qayta o'rnatmaguncha mavjud bo'lgan marshrutni ushlaydigan tekshiruv.
- Biror narsani tahrirlashdan oldin tarmoq egasi manzilga ruxsat berishini tasdiqlang.
- Marshrutni klient yuklaydigan profilga qo'ying, so'ng qayta import qilib, qayta ulanib chiqing.
- To'g'ri manzil oilasi uchun ilova qamrovi ichida xizmat porti orqali tekshiring.
- Uzatish, qaytish marshrutlash va iroute ni serverda tuzating, telefonda emas.
- Qaytarish nusxasini saqlang va qayta yuklashdan keyin yana sinang.